代碼審計報告

1、TOC o 1-5 h z HYPERLINK l bookmark0 .概述1 HYPERLINK l bookmark2 源代碼審計概述1項目概述2 HYPERLINK l bookmark6 .審核對象3 HYPERLINK l bookmark8 應(yīng)用列表3 HYPERLINK l bookmark10 參與人員3代碼審計所使用的相關(guān)資源錯誤!未定義書簽。MicrosoftCAT.NAT錯誤!未定義書簽。MicrosoftVisualStudio2008CodeAnalysis.錯誤!未定義書簽。SSWCodeAuditor錯誤!未定義書簽。TOC o 1-5 h z HYPERLIN

2、K l bookmark14 .現(xiàn)狀分析4 HYPERLINK l bookmark16 .審計結(jié)果4門戶（Portal）錯誤!未定義書簽。用戶管理模塊4站內(nèi)搜索模塊錯誤!未定義書簽。文件上傳模塊錯誤!未定義書簽。日志管理模塊錯誤!未定義書簽。錯誤處理模塊錯誤!未定義書簽。產(chǎn)品及解決方案錯誤!未定義書簽。合作伙伴錯誤!未定義書簽?？蛻糁С皱e誤!未定義書簽。工作機會錯誤!未定義書簽。EDM錯誤!未定義書簽。討論組錯誤!未定義書簽。TOC o 1-5 h z HYPERLINK l bookmark20 .審計結(jié)論與建議5 HYPERLINK l bookmark22 審計結(jié)果簡評5 HYPERL

3、INK l bookmark24 脆弱性和缺陷編程意見5 HYPERLINK l bookmark26 定期進行代碼抽樣審計6 HYPERLINK l bookmark28 系統(tǒng)上線前進行全面的測試6制定完善的開發(fā)文檔7一.概述源代碼審計概述源代碼審計工作通過分析當(dāng)前應(yīng)用系統(tǒng)的源代碼，熟悉業(yè)務(wù)系統(tǒng)，從應(yīng)用系統(tǒng)結(jié)構(gòu)方面檢查其各模塊和功能之間的關(guān)聯(lián)、權(quán)限驗證等內(nèi)容；從安全性方面檢查其脆弱性和缺陷。在明確當(dāng)前安全現(xiàn)狀和需求的情況下，對下一步的編碼安全規(guī)范性建設(shè)有重大的意義。源代碼審計工作利用一定的編程規(guī)范和標準，針對應(yīng)用程序源代碼，從結(jié)構(gòu)、脆弱性以及缺陷等方面進行審查，以發(fā)現(xiàn)當(dāng)前應(yīng)用程序中存在的安全

4、缺陷以及代碼的規(guī)范性缺陷。審核目的本次源代碼審計工作是通過對當(dāng)前系統(tǒng)各模塊的源代碼進行審查，以檢查代碼在程序編寫上可能引起的安全性和脆弱性問題。審核依據(jù)本次源代碼審計工作主要突出代碼編寫的缺陷和脆弱性，以O(shè)WASPTOP102010為檢查依據(jù)，針對OWASP統(tǒng)計的問題作重點檢查。ij點擊打開文檔OWASPTOP102010審計范圍根據(jù)XX給出的代碼，對其WEB應(yīng)用作脆弱性和缺陷、以及結(jié)構(gòu)上的檢查。通過了解業(yè)務(wù)系統(tǒng)，確定重點檢查模塊以及重要文件，提供可行性的解決方法。審計方法通過白盒（代碼審計）的方式檢查應(yīng)用系統(tǒng)的安全性，白盒測試所采用的方法是工具審查+人工確認+人工抽取代碼檢查，依照OWASP

5、2010TOP10所披露的脆弱性，根據(jù)業(yè)務(wù)流來檢查目標系統(tǒng)的脆弱性、缺陷以及結(jié)構(gòu)上的問題。本次源代碼審計分為三個階段：信息收集此階段中，源代碼審計人員熟悉待審計WEB應(yīng)用的結(jié)構(gòu)設(shè)計、功能模塊，并與客戶相關(guān)人員商議、協(xié)調(diào)審計重點及源代碼提供等方面的信息。代碼安全性分析此階段中，源代碼審計人員會使用工具對源代碼的脆弱性和安全缺陷進行初步的分析，然后根據(jù)客戶關(guān)注的重點對部分代碼進行手工審計，主要包含以下內(nèi)容：輸入/輸出驗證。SQL注入、跨站腳本、拒絕服務(wù)攻擊，對上傳文件的控制等因為未能較好的控制用戶提交的內(nèi)容造成的問題；安全功能。請求的參數(shù)沒有限制范圍導(dǎo)致信息泄露，Cookie超時機制和有效域控制，

6、權(quán)限控制、日志審計等方面的內(nèi)容；程序異常處理。忽略處理的異常、異常處理不恰當(dāng)造成的信息泄露或是不便于進行錯誤定位等問題；代碼規(guī)范性檢查此階段中，源代碼審計人員主要是利用一些代碼規(guī)范檢查工具對網(wǎng)站各功能模塊的代碼進行合規(guī)性檢查，主要目的在于提高代碼質(zhì)量，使其更符合編碼規(guī)范的要求，主要包括以下內(nèi)容：代碼質(zhì)量。例如對象錯誤或不適合調(diào)用導(dǎo)致程序未能按預(yù)期的方式執(zhí)行，功能缺失；類成員與其封裝類同名，變量賦值后不使用等；封裝。多余的注釋信息、調(diào)試信息問題導(dǎo)致應(yīng)用系統(tǒng)信息暴露，錯誤的變量聲明等。API濫用。例如調(diào)用非本單位直接控制的資源、對象過于頻繁調(diào)用、直接調(diào)用空對象導(dǎo)致系統(tǒng)資源消耗過大或是程序執(zhí)行效率低

7、下等問題。在XX及WEB應(yīng)用開發(fā)單位XX公司相關(guān)人員的協(xié)調(diào)與配合下，*公司安全測試小組于XXXX年XX月XX日至XX日對XX應(yīng)用進行了源代碼審計工作。在此期間內(nèi)，*公司安全測試小組利用各種主流的代碼審計工具以及手工檢查等方式對網(wǎng)站主要功能模塊的源代碼進行了安全性及規(guī)范性檢查，發(fā)現(xiàn)了源代碼中存在的一些脆弱性、合規(guī)性問題及缺陷。本文檔即為*公司安全測試小組在進行代碼審計工作完成后所提交的報告資料，用于對XXWEB應(yīng)用的安全狀況從代碼層面作出分析和建議。*公司代碼審計服務(wù)是經(jīng)過授權(quán)的，也是有時間限制的。二.審核對象應(yīng)用列表本次代碼審核的對象包括:基本信息應(yīng)用系統(tǒng)名稱XXWEB應(yīng)用語言類型ASPASP

8、.NET（VB）ASP.NET（C#）PHPJSP（JAVA）其它參與人員參與人員工作職責(zé)聯(lián)系方式XXXXXXXXX審計工具工具一工具名稱XXXX工具用途相關(guān)信息工具二工具名稱XXXX工具用途相關(guān)信息三.現(xiàn)狀分析XX門戶網(wǎng)站是由XX公司開發(fā)的基于XXX語言的網(wǎng)站，主要功能有產(chǎn)品及解決方案、合作伙伴、客戶支持、工作機會、eDM以及貫穿多個模塊的討論組。根據(jù)模塊的不同進行訪問權(quán)限的控制。整個網(wǎng)站采用唯一的訪問入口default.aspx，所有模塊均由系統(tǒng)根據(jù)權(quán)限和參數(shù)來進行控制。系統(tǒng)用戶根據(jù)權(quán)限的不同分為超級管理員、模塊管理員和用戶三個級別。前臺用戶訪問使用HTTP協(xié)議，后臺管理員維護使用HTTP

9、S協(xié)議，以保證通訊安全。除了產(chǎn)品及解決方案、合作伙伴、討論組、工作機會、客戶支持五個模塊進行了定制開發(fā)以外，整個網(wǎng)站的基礎(chǔ)架構(gòu)（如用戶管理、權(quán)限管理、網(wǎng)站安全、文件上傳下載等）均采用成熟的平臺來構(gòu)建。因此，最可能出現(xiàn)各種問題的地方也集中在各個定制模塊當(dāng)中，源代碼審計的重點也集中在這幾部分的代碼上。四.審計結(jié)果4.1XX模塊4.1.1XXXXXX編號NS-SCA-XXXX-XX描述潛在威脅所在頁面問題行數(shù)修改建議4.1.2XXXXXX編號NS-SCA-XXXX-XX描述潛在威脅所在頁面問題行數(shù)修改建議五.審計結(jié)論與建議審計結(jié)果簡評通過對XXWEB應(yīng)用進行為期XX天的源代碼審計，我們得出如下結(jié)論：

10、底層平臺采用了較為成熟的用戶管理、權(quán)限控制、模塊動態(tài)加載及訪問控制技術(shù)，代碼的編寫基本符合編碼規(guī)范的要求。但在部分功能模塊上還存在一些問題，需要加于改進，主要體現(xiàn)在以下幾個方面：XXXXXXXXXXXX注意事項脆弱性和缺陷編程意見經(jīng)過本次代碼審計，也發(fā)現(xiàn)了被檢測WEB應(yīng)用存在的一些問題或缺陷，在本節(jié)我們會根據(jù)我們的經(jīng)驗來提出一些改進意見或建議，供WEB應(yīng)用開發(fā)、管理人員參考。這部分內(nèi)容對于后期的維護和擴展也有一定的指導(dǎo)意義。永遠不要相信用戶的輸入用戶的輸入主要包括以下幾類：WEB訪問請求中URL的參數(shù)部分；HTML表單通過POST或GET請求提交的數(shù)據(jù)；在客戶端臨時保存的數(shù)據(jù)（也就是Cooki

11、e）；數(shù)據(jù)庫查詢。安全功能方面不要過于信任應(yīng)用程序訪問控制規(guī)則；身份鑒別系統(tǒng)和會話管理可能會被繞過或是被篡改；存儲的敏感信息可能被抽取。其它：服務(wù)器：安裝最新的補丁，降低WEB應(yīng)用運行用戶的權(quán)限，適當(dāng)設(shè)置應(yīng)用所在目錄的讀寫權(quán)限。WEB服務(wù)器軟件：不要開啟目錄瀏覽、寫入、腳本資源訪問等功能。錯誤處理：必須關(guān)閉詳細錯誤顯示，比較好的處理方式是開啟錯誤重定向功能在出錯后重定向到指定頁面（如網(wǎng)站首頁），并且這個頁面不能把異常信息發(fā)送給客戶端，如：代碼質(zhì)量：主要是指可用性、可維護性、運行效率、重復(fù)代碼量等等指標，高質(zhì)量的代碼不僅易于維護，而且運行效率高，因為當(dāng)受到拒絕服務(wù)攻擊時可以有效降低對系統(tǒng)的影響。好的代碼依賴于合理的系統(tǒng)架構(gòu)、優(yōu)秀的程序編寫人員和嚴謹?shù)墓ぷ髯黠L(fēng)。定期進行代碼抽樣審計雖然我們在本次代碼審計中發(fā)現(xiàn)了這些問題，并且相信這些安全隱患能夠在短時間內(nèi)解決。我們?nèi)匀?/p>