fortify源代碼漏洞案例的行業須知「多圖」

代碼審計服務介紹

      應用系統軟件自身的安全性是確保應用系統安全穩定運行的關鍵。但通常應用系統在開發的過程中會引入安全缺陷而造成應用系統自身存在安全漏洞，如被外部威脅所利用會產生安全風險，造成不良的安全影響。需要通過采用應用系統源代碼安全審計的方式，來減少和降低開發過程中的安全缺陷和安全漏洞。

      因此，通過開展應用系統源代碼審計工作，減少客戶應用系統的安全漏洞和缺陷隱患，有效降低客戶應用系統安全風險，保障應用系統安全穩定運行。

代碼審計服務流程

1、準備階段

      在代碼審計前期準備階段，項目組將對業務軟件功能、架構、運行環境和編程語言等實際情況進行調研，為代碼審查工作的開展提供必要條件。

2、審核階段

      前期準備工作完成后將進入代碼審核階段，主要采用人工審核為主和自動化審計工具輔助的方式進行安全審計，通過審計發現安全缺陷并定位到具體的代碼給出整改建議。

3、制作報告

      對于審計發現的問題，我們會對發現的問題進行相關分析，提出整改建議終形成書面報告，若有需要可組織會議進行匯報。

4、安全整改

      我們會協助開發人員整改安全漏洞并復查漏洞的整改情況，確保產品上線后安全穩定的運行。

代碼安全存在的問題

      現在軟件功能都在朝著越來越復雜的方向變化，同時導致軟件漏洞逐漸的增加。軟件在設計開發過程中，存在著軟件開發周期短，工作量大，沒有涉及到或無暇顧及代碼安全問題，甚至在軟件設計前期就缺乏對代碼安全的設計，同時也體現出我們的軟件開發人員自身就缺乏安全編程的經驗。在現在的互聯網環境下，代碼安全也面臨著更多的安全挑戰。

代碼安全審計能夠解決哪些安全問題

      代碼檢查是審計工作中常用的技術手段，實際應用中，采用“自動分析 人工驗證”的方式進行。通常檢查項目包括:系統所用開源框架、源代碼設計、錯誤處理不當、直接對象引用、資源濫用、API濫用、后門代碼發現等，通常能夠識別如下代碼中的風險點：

跨站腳本漏洞、跨站請求偽裝漏洞、SQL注入漏洞、命令執行漏洞、參數篡改、密碼明文存儲、配置文件缺陷、路徑操作錯誤、資源管理、不安全的Ajax調用、系統信息泄露、調試程序殘留、第三方控件漏洞、文件上傳漏洞、遠程命令執行、遠程代碼執行、越權操作、授權繞過漏洞。