代碼審計服務(wù)
服務(wù)概述
代碼審計（Code audit）是一種以發(fā)現(xiàn)程序錯誤、安全漏洞和違反程序規(guī)范為目標(biāo)的源代碼分析，能夠幫助企業(yè)從安全角度對應(yīng)用系統(tǒng)的所有邏輯路徑進(jìn)行測試，通過分析源代碼，充分挖掘代碼中存在的安全缺陷以及規(guī)范性缺陷，找到普通安全測試所無法發(fā)現(xiàn)的如二次注入、反序列化、xml實體注入等安全漏洞。代碼審計的技術(shù)手段，可以彌補(bǔ)黑盒滲透測試的未能完全覆蓋的漏洞環(huán)節(jié)與安全隱患，是一種可靠性、安全性最高的修補(bǔ)漏洞的方法。
服務(wù)流程
第一步，準(zhǔn)備階段
與客戶進(jìn)行技術(shù)溝通，確定審計對象，獲取開發(fā)相關(guān)文檔，了解業(yè)務(wù)流程等確認(rèn)審計時間和方式。
第二步，代碼審計階段
使用自動化工具掃描+人工代碼審計，匯總審計結(jié)果，形成審計報告，與客戶溝通審計結(jié)果，并提出修復(fù)建議。
第三步，代碼復(fù)查階段
客戶修復(fù)后進(jìn)行二次審查，提交復(fù)查報告。
第四步，成果交付
成果匯總，與客戶溝通最終結(jié)果
服務(wù)內(nèi)容
代碼審計服務(wù)內(nèi)容包括：開發(fā)所用的開源框架、源代碼設(shè)計、錯誤處理不當(dāng)、直接對象引用、資源濫用、API濫用、后門代碼發(fā)現(xiàn)等。
系統(tǒng)所用開源框架
包含java反序列化漏洞，導(dǎo)致遠(yuǎn)程代碼執(zhí)行。Spring、Struts2的相關(guān)安全。
應(yīng)用代碼關(guān)注要素
日志偽造漏洞，密碼明文存儲，資源管理，調(diào)試程序殘留，二次注入，反序列化。
API濫用
不安全的數(shù)據(jù)庫調(diào)用、隨機(jī)數(shù)創(chuàng)建、內(nèi)存管理調(diào)用、字符串操作，危險的系統(tǒng)方法調(diào)用。
源代碼設(shè)計
不安全的域、方法、類修飾符未使用的外部引用、代碼。
錯誤處理不當(dāng)
程序異常處理、返回值用法、空指針、日志記錄。
直接對象引用
直接引用數(shù)據(jù)庫中的數(shù)據(jù)、文件系統(tǒng)、內(nèi)存空間。
資源濫用
不安全的文件創(chuàng)建／修改／刪除，競爭沖突，內(nèi)存泄露。
業(yè)務(wù)邏輯錯誤
欺騙密碼找回功能，規(guī)避交易限制,越權(quán)缺陷Cookies和session的問題。
規(guī)范性權(quán)限配置
數(shù)據(jù)庫配置規(guī)范，Web服務(wù)的權(quán)限配置SQL語句編寫規(guī)范。
客戶收益
提前做好代碼審計，將先于黑客發(fā)現(xiàn)系統(tǒng)的安全隱患，提前部署號安全防御措施，保證系統(tǒng)的每個環(huán)節(jié)在未知環(huán)境下都能禁得起黑客挑戰(zhàn)。
上一篇： web安全滲透測試服務(wù)
