fortify源代碼漏洞案例的行業(yè)須知「多圖」

代碼審計(jì)服務(wù)介紹

      應(yīng)用系統(tǒng)軟件自身的安全性是確保應(yīng)用系統(tǒng)安全穩(wěn)定運(yùn)行的關(guān)鍵。但通常應(yīng)用系統(tǒng)在開發(fā)的過程中會(huì)引入安全缺陷而造成應(yīng)用系統(tǒng)自身存在安全漏洞，如被外部威脅所利用會(huì)產(chǎn)生安全風(fēng)險(xiǎn)，造成不良的安全影響。需要通過采用應(yīng)用系統(tǒng)源代碼安全審計(jì)的方式，來減少和降低開發(fā)過程中的安全缺陷和安全漏洞。

      因此，通過開展應(yīng)用系統(tǒng)源代碼審計(jì)工作，減少客戶應(yīng)用系統(tǒng)的安全漏洞和缺陷隱患，有效降低客戶應(yīng)用系統(tǒng)安全風(fēng)險(xiǎn)，保障應(yīng)用系統(tǒng)安全穩(wěn)定運(yùn)行。

代碼審計(jì)服務(wù)流程

1、準(zhǔn)備階段

      在代碼審計(jì)前期準(zhǔn)備階段，項(xiàng)目組將對(duì)業(yè)務(wù)軟件功能、架構(gòu)、運(yùn)行環(huán)境和編程語(yǔ)言等實(shí)際情況進(jìn)行調(diào)研，為代碼審查工作的開展提供必要條件。

2、審核階段

      前期準(zhǔn)備工作完成后將進(jìn)入代碼審核階段，主要采用人工審核為主和自動(dòng)化審計(jì)工具輔助的方式進(jìn)行安全審計(jì)，通過審計(jì)發(fā)現(xiàn)安全缺陷并定位到具體的代碼給出整改建議。

3、制作報(bào)告

      對(duì)于審計(jì)發(fā)現(xiàn)的問題，我們會(huì)對(duì)發(fā)現(xiàn)的問題進(jìn)行相關(guān)分析，提出整改建議終形成書面報(bào)告，若有需要可組織會(huì)議進(jìn)行匯報(bào)。

4、安全整改

      我們會(huì)協(xié)助開發(fā)人員整改安全漏洞并復(fù)查漏洞的整改情況，確保產(chǎn)品上線后安全穩(wěn)定的運(yùn)行。

代碼安全存在的問題

      現(xiàn)在軟件功能都在朝著越來越復(fù)雜的方向變化，同時(shí)導(dǎo)致軟件漏洞逐漸的增加。軟件在設(shè)計(jì)開發(fā)過程中，存在著軟件開發(fā)周期短，工作量大，沒有涉及到或無暇顧及代碼安全問題，甚至在軟件設(shè)計(jì)前期就缺乏對(duì)代碼安全的設(shè)計(jì)，同時(shí)也體現(xiàn)出我們的軟件開發(fā)人員自身就缺乏安全編程的經(jīng)驗(yàn)。在現(xiàn)在的互聯(lián)網(wǎng)環(huán)境下，代碼安全也面臨著更多的安全挑戰(zhàn)。

代碼安全審計(jì)能夠解決哪些安全問題

      代碼檢查是審計(jì)工作中常用的技術(shù)手段，實(shí)際應(yīng)用中，采用“自動(dòng)分析 人工驗(yàn)證”的方式進(jìn)行。通常檢查項(xiàng)目包括:系統(tǒng)所用開源框架、源代碼設(shè)計(jì)、錯(cuò)誤處理不當(dāng)、直接對(duì)象引用、資源濫用、API濫用、后門代碼發(fā)現(xiàn)等，通常能夠識(shí)別如下代碼中的風(fēng)險(xiǎn)點(diǎn)：

跨站腳本漏洞、跨站請(qǐng)求偽裝漏洞、SQL注入漏洞、命令執(zhí)行漏洞、參數(shù)篡改、密碼明文存儲(chǔ)、配置文件缺陷、路徑操作錯(cuò)誤、資源管理、不安全的Ajax調(diào)用、系統(tǒng)信息泄露、調(diào)試程序殘留、第三方控件漏洞、文件上傳漏洞、遠(yuǎn)程命令執(zhí)行、遠(yuǎn)程代碼執(zhí)行、越權(quán)操作、授權(quán)繞過漏洞。