web應用安全通用評估準則

1、web應用安全通用評估準則1、鑒別(authentication)最佳實踐鑒別機制應防止無憑證用戶的非法訪問應用程序功能，通過禁 止惡意口令猜測嘗試來防止暴力破解常見問題登入過程繞過；自動登錄腳木；身份變化；2、授權(authorization)最佳實踐授權機制應防止用戶訪問其他用戶的數(shù)據(jù)或防止非授權使用應 用程序功能常見問題隱藏的或可猜測的特權功能；a用戶可讀/修改b用戶的數(shù)據(jù)；get/post參數(shù)模糊3、用戶輸入驗證(user5s input sanitization)最佳實踐所有的用戶輸入數(shù)據(jù)應該進行檢查和驗證。邊界檢查可用于防 止緩沖區(qū)欲出/變量賦值違規(guī)。語法檢查應強制實施以防止數(shù)據(jù)

2、編碼，數(shù)據(jù)注入，格式化字符串攻擊，同時拒絕輸入禁止的字 符等。利用用戶可控輸入所產(chǎn)生的輸出數(shù)據(jù)必須經(jīng)過適當?shù)母?式化以避免通用應用進行客戶端腳木注入。常見問題半數(shù)溢出；javascript注入，sql注入；跨站腳本；服務器端文 件包含4、錯誤輸出和信息泄漏(error handling and information leakage)最佳實踐應用程序應限制可提供詳細系統(tǒng)信息或業(yè)務邏幫助等信息的錯 誤消息，以內(nèi)這些消息可幫助攻擊者危及系統(tǒng)；常見問題sql冗余錯誤消息，并存在后臺數(shù)據(jù)庫結構信息的泄露；提示 性的錯誤消息，詳細給岀文件系統(tǒng)路徑信息；當帳戶或口令出 錯的登錄進程通知信息；服務器旗幟標及

3、發(fā)布版木泄露，5、口令/pin 碼的復朵性(password/pin complexity)最佳實踐用戶認證的長度和復雜性要求進行強制以防止口令和pins的 暴力破解常見問題4個數(shù)字的口令,常見帳號（如demo/demo或admin/admin）； 缺省安裝口令，6、用戶數(shù)據(jù)保密性（user's data con行dentiality）最佳實踐應用程序應用在整個數(shù)據(jù)流的生命周期中維護用戶數(shù)據(jù)的隱私 和機密性。應用程序應確保敏感數(shù)據(jù)（如口令，pin嗎或 msisdn）不被存儲在web服務器或者逆向代理h志文件屮， 或以非加密形式駐留于cookies或瀏覽器的緩存數(shù)據(jù)屮。應正確 地實現(xiàn)授權

4、以保證應用程序用戶不能查看到其他用戶的敏感信 息。常見問題信用卡號和ccv2碼被存儲，而口令一明文形式出現(xiàn)在日志文 件屮；系統(tǒng)管理員可以讀取其他用戶的口令；日志文件可被非 授權人員訪問7 會話機制 (session mechanism最佳實踐會話管理應依賴于強壯的機制和會話標識。會話標識，如cookie或會話id,應難以預測常見問題被偷竊的會話cookie可以在其他ip地址的計算機上再次使用， 通過模糊參數(shù)惡意地實現(xiàn)身份交換。8> 補丁管理(patch management)最佳實踐所有暴露的和啟用web應用組件（如web應用框架，反向代理， 模塊，）必須更新到最新最穩(wěn)定的版木，特別要關

5、注最新 的緊急安全補丁和岀現(xiàn)漏洞攻擊工具的補丁。常見問題未安裝可被利用的脆弱性的補j*,而攻擊程序已存在。9、管理員接口( administration interfaces最佳實踐管理功能應從應用程序的其他部分隔離出來。只冇授權的用戶 被允許使用應用程序的管理功能。常見問題常見管理urls；管理功能可以從主應用進行調(diào)用，.10> 通信安全(communication security)最佳實踐皺感信息的通信傳輸應進行加密以防止為授權的搭線竊聽，從 而保證數(shù)據(jù)的完整性。常見問題口令僅使用base64編碼就進行傳輸；在傳輸logon/password或 其他機密信息時，未使用https |辦議，11、第三方服務暴露最佳實踐任何缺省安裝部署的第三方依賴或其他服務應嚴格審計，以確保它 們不會危及其所支持的產(chǎn)品或應用的安全。應有網(wǎng)絡級的訪問控制