代碼審計(jì)服務(wù)
服務(wù)概述
代碼審計(jì)（Code audit）是一種以發(fā)現(xiàn)程序錯(cuò)誤、安全漏洞和違反程序規(guī)范為目標(biāo)的源代碼分析，能夠幫助企業(yè)從安全角度對(duì)應(yīng)用系統(tǒng)的所有邏輯路徑進(jìn)行測(cè)試，通過(guò)分析源代碼，充分挖掘代碼中存在的安全缺陷以及規(guī)范性缺陷，找到普通安全測(cè)試所無(wú)法發(fā)現(xiàn)的如二次注入、反序列化、xml實(shí)體注入等安全漏洞。代碼審計(jì)的技術(shù)手段，可以彌補(bǔ)黑盒滲透測(cè)試的未能完全覆蓋的漏洞環(huán)節(jié)與安全隱患，是一種可靠性、安全性最高的修補(bǔ)漏洞的方法。
服務(wù)流程
第一步，準(zhǔn)備階段
與客戶進(jìn)行技術(shù)溝通，確定審計(jì)對(duì)象，獲取開(kāi)發(fā)相關(guān)文檔，了解業(yè)務(wù)流程等確認(rèn)審計(jì)時(shí)間和方式。
第二步，代碼審計(jì)階段
使用自動(dòng)化工具掃描+人工代碼審計(jì)，匯總審計(jì)結(jié)果，形成審計(jì)報(bào)告，與客戶溝通審計(jì)結(jié)果，并提出修復(fù)建議。
第三步，代碼復(fù)查階段
客戶修復(fù)后進(jìn)行二次審查，提交復(fù)查報(bào)告。
第四步，成果交付
成果匯總，與客戶溝通最終結(jié)果
服務(wù)內(nèi)容
代碼審計(jì)服務(wù)內(nèi)容包括：開(kāi)發(fā)所用的開(kāi)源框架、源代碼設(shè)計(jì)、錯(cuò)誤處理不當(dāng)、直接對(duì)象引用、資源濫用、API濫用、后門代碼發(fā)現(xiàn)等。
系統(tǒng)所用開(kāi)源框架
包含java反序列化漏洞，導(dǎo)致遠(yuǎn)程代碼執(zhí)行。Spring、Struts2的相關(guān)安全。
應(yīng)用代碼關(guān)注要素
日志偽造漏洞，密碼明文存儲(chǔ)，資源管理，調(diào)試程序殘留，二次注入，反序列化。
API濫用
不安全的數(shù)據(jù)庫(kù)調(diào)用、隨機(jī)數(shù)創(chuàng)建、內(nèi)存管理調(diào)用、字符串操作，危險(xiǎn)的系統(tǒng)方法調(diào)用。
源代碼設(shè)計(jì)
不安全的域、方法、類修飾符未使用的外部引用、代碼。
錯(cuò)誤處理不當(dāng)
程序異常處理、返回值用法、空指針、日志記錄。
直接對(duì)象引用
直接引用數(shù)據(jù)庫(kù)中的數(shù)據(jù)、文件系統(tǒng)、內(nèi)存空間。
資源濫用
不安全的文件創(chuàng)建／修改／刪除，競(jìng)爭(zhēng)沖突，內(nèi)存泄露。
業(yè)務(wù)邏輯錯(cuò)誤
欺騙密碼找回功能，規(guī)避交易限制,越權(quán)缺陷Cookies和session的問(wèn)題。
規(guī)范性權(quán)限配置
數(shù)據(jù)庫(kù)配置規(guī)范，Web服務(wù)的權(quán)限配置SQL語(yǔ)句編寫(xiě)規(guī)范。
客戶收益
提前做好代碼審計(jì)，將先于黑客發(fā)現(xiàn)系統(tǒng)的安全隱患，提前部署號(hào)安全防御措施，保證系統(tǒng)的每個(gè)環(huán)節(jié)在未知環(huán)境下都能禁得起黑客挑戰(zhàn)。
