fortify源代碼漏洞案例的行業(yè)須知「多圖」

代碼審計服務(wù)介紹

      應(yīng)用系統(tǒng)軟件自身的安全性是確保應(yīng)用系統(tǒng)安全穩(wěn)定運行的關(guān)鍵。但通常應(yīng)用系統(tǒng)在開發(fā)的過程中會引入安全缺陷而造成應(yīng)用系統(tǒng)自身存在安全漏洞，如被外部威脅所利用會產(chǎn)生安全風(fēng)險，造成不良的安全影響。需要通過采用應(yīng)用系統(tǒng)源代碼安全審計的方式，來減少和降低開發(fā)過程中的安全缺陷和安全漏洞。

      因此，通過開展應(yīng)用系統(tǒng)源代碼審計工作，減少客戶應(yīng)用系統(tǒng)的安全漏洞和缺陷隱患，有效降低客戶應(yīng)用系統(tǒng)安全風(fēng)險，保障應(yīng)用系統(tǒng)安全穩(wěn)定運行。

代碼審計服務(wù)流程

1、準備階段

      在代碼審計前期準備階段，項目組將對業(yè)務(wù)軟件功能、架構(gòu)、運行環(huán)境和編程語言等實際情況進行調(diào)研，為代碼審查工作的開展提供必要條件。

2、審核階段

      前期準備工作完成后將進入代碼審核階段，主要采用人工審核為主和自動化審計工具輔助的方式進行安全審計，通過審計發(fā)現(xiàn)安全缺陷并定位到具體的代碼給出整改建議。

3、制作報告

      對于審計發(fā)現(xiàn)的問題，我們會對發(fā)現(xiàn)的問題進行相關(guān)分析，提出整改建議終形成書面報告，若有需要可組織會議進行匯報。

4、安全整改

      我們會協(xié)助開發(fā)人員整改安全漏洞并復(fù)查漏洞的整改情況，確保產(chǎn)品上線后安全穩(wěn)定的運行。

代碼安全存在的問題

      現(xiàn)在軟件功能都在朝著越來越復(fù)雜的方向變化，同時導(dǎo)致軟件漏洞逐漸的增加。軟件在設(shè)計開發(fā)過程中，存在著軟件開發(fā)周期短，工作量大，沒有涉及到或無暇顧及代碼安全問題，甚至在軟件設(shè)計前期就缺乏對代碼安全的設(shè)計，同時也體現(xiàn)出我們的軟件開發(fā)人員自身就缺乏安全編程的經(jīng)驗。在現(xiàn)在的互聯(lián)網(wǎng)環(huán)境下，代碼安全也面臨著更多的安全挑戰(zhàn)。

代碼安全審計能夠解決哪些安全問題

      代碼檢查是審計工作中常用的技術(shù)手段，實際應(yīng)用中，采用“自動分析 人工驗證”的方式進行。通常檢查項目包括:系統(tǒng)所用開源框架、源代碼設(shè)計、錯誤處理不當(dāng)、直接對象引用、資源濫用、API濫用、后門代碼發(fā)現(xiàn)等，通常能夠識別如下代碼中的風(fēng)險點：

跨站腳本漏洞、跨站請求偽裝漏洞、SQL注入漏洞、命令執(zhí)行漏洞、參數(shù)篡改、密碼明文存儲、配置文件缺陷、路徑操作錯誤、資源管理、不安全的Ajax調(diào)用、系統(tǒng)信息泄露、調(diào)試程序殘留、第三方控件漏洞、文件上傳漏洞、遠程命令執(zhí)行、遠程代碼執(zhí)行、越權(quán)操作、授權(quán)繞過漏洞。