代码审核方案

代码审核我们公司为XXXXXX的所有信息系统代码提供全面的安全审核. 在（源）代码中识别安全漏洞，找到并验证导致该安全漏洞的错误代码，并提供修复解决方案. 语言支持: Java，JSP，C，C ++ 、. NET（C#），XML，ASP代码审计规则，PHP，JS，VB等. 操作环境支持: Windows，Red Hat Linux，Ubuntu，Centos，Kirin Linux和其他主流系统. 在服务期间: 为xxxxxx提供1个代码审核，并提交相应的“源代码审核报告”. 代码审核服务内容代码审核服务的范围包括使用Java，JSP，C，C ++ 、. NET（C#），XML，ASP，PHP，JS等主流语言开发的B / S，C / S应用程序系统，VB和用XML语言编写的文件，SQL语言和存储过程等，其操作环境支持Windows，Red Hat Linux，Ubuntu，Centos，Kirin Linux和其他主流系统. 源代码安全审计服务从五个方面全面分析软件源代码安全性问题: 数据流分析，控制流分析，语义分析，配置分析和结构分析. 借助源代码分析工具，该语言可以支持以下信息的扫描和分析: 信息系统源代码Java / JSP C / C ++ 、. NET平台，TSQL / PLSQL，Cold Fusion，XML，CFML，ASP，PHP ，JS，VB等.

对操作系统的支持: Windows，Solaris，Red Hat Linux，Mac OS X，HP-UX，IBM AIX等，并查找并验证导致安全漏洞的错误代码，并提供修复解决方案. 代码审核服务参考标准CVE（常见漏洞和披露）公共漏洞字典表OWASP（开放Web应用程序安全项目公共漏洞字典表“软件安全开发标准”（ISO / IEC 27034）“独立审核标准20-计算机信息系统环境中的审计《国家审计署关于发布信息系统审计指南的通知》（审计[2012] 11号）审计分类总体代码审计总体代码审计是指对代码审计服务人员进行全面整合的代码. 被审计系统安全审计的所有源代码，代码覆盖率为100％，整体代码审计结合源代码扫描和手动分析来确认分析，并在源代码中查找安全漏洞. 总体代码审核属于白盒静态分析，只能被发现存在安全漏洞在代码编写中非常困难，并且不可能发现业务功能中的缺陷. 功能点手动代码审核功能点手动代码审核是对一个或几个重要功能点的源代码进行的手动代码审核，并且发现了功能点的存在. 代码安全性问题.

功能点处的功能代码审核需要收集技术信息，例如系统设计文档和系统开发手册，以便代码审核服务人员可以更好地了解系统业务功能. 由于手动代码审核的工作量很大，因此有必要分析和选择重要的功能点，并有针对性地进行手动代码审核. Fortify SCA审核工具Fortify SCA是一个静态的白盒软件源代码安全测试工具. 它通过内置的五个主要分析引擎来分析应用程序软件的源代码: 数据流，语义代码审计规则，结构，控制流，配置流等，并在分析过程中完全匹配其独特的软件安全漏洞规则集. 搜索，以便扫描出源代码中的安全漏洞，并提供报告. 扫描结果不仅包括有关安全漏洞的详细信息，还包括相关的安全知识和补救建议. 代码审核实施过程源代码审核服务主要分为四个阶段，包括代码审核的早期准备阶段，代码审核阶段的实施，审核阶段的实施和成果报告阶段: 早期准备阶段在执行代码审核工作之前，技术人员和客户应详细沟通与代码审核服务相关的技术细节. 这确认了代码审核程序. 程序内容主要包括确认代码审核范围，最终对象，审核方法，审核要求和时间. 代码审核阶段的实施在执行源代码审核的过程中，技术人员首先使用代码审核扫描工具扫描源代码以完成初步信息收集，然后通过手动方式手动分析并确认源代码扫描结果.

根据收集到的各种信息，对客户所需的重要功能点进行手动代码审核. 结合自动源代码扫描和手动代码审核的结果，代码审核服务人员需要整理代码审核服务的输出并准备代码审核报告，最后将其提交给客户并传达其内容. 报告. 在重新测试阶段中的实施在首次提交和审核代码审核报告之后，请等待客户纠正或强化在代码审核中发现的问题. 纠正或增强后，代码审核服务人员进行回归检查，即二次检查. 检查完成后，将检查报告提交给客户并传达检查结果. 根据第一次代码审核和第二次审核的结果，结果报告阶段对代码审核服务的输出进行分类，最后形成“信息系统代码审核报告”. 图形代码审计服务流程的风险控制和输出结果为了避免风险，通常不在生产或测试服务器上执行源代码审计工作. XXXXXX信息中心需要提供源代码或存储源代码的计算机载体. 代码审核服务人员将在存储源代码的计算机载体中安装一些代码审核工具，并在完成代码审核后卸载这些工具，以保护业务资产免受损坏. 在代码审核过程中，确定代码审核服务人员和合作人员的，以利于及时沟通，解决服务过程中的各种问题. 源代码审核专注于跨站点请求伪装漏洞漏洞: 提交表单中没有特定于用户的标识. 影响: 攻击者可能利用跨站点请求伪装（CSRF）漏洞来冒充另一个用户提出未经授权的请求，即，恶意用户窃取了另一个用户的身份以使用特定资源.

注入漏洞漏洞: 不对访问的SQL语句执行过滤，这可能导致SQL注入. 影响: 如果SQL注入成功，则攻击者可以获得网站的信息，修改和删除，并可能获得执行命令的权限，从而完全控制服务器. 命令执行漏洞漏洞: 系统使用某些调用操作系统功能的命令. 在通话期间，如果命令的来源不可信，则系统可能会执行恶意命令. 影响: 攻击者可能会用恶意命令替换要执行的命令，例如删除系统文件. 日志伪造漏洞漏洞: 将未经验证的用户输入写入日志. 影响: 攻击者可以利用此漏洞伪造日志条目或将恶意内容注入日志. 参数篡改漏洞: 某些重要参数可能被篡改. 影响: 攻击者可以通过篡改重要的参数或方法来攻击系统. 密码明文存储漏洞: 明文密码存储在配置文件中. 影响: 将明文密码存储在配置文件中可能会损害系统安全性，并且攻击者可以轻松获取系统密码. 配置文件缺陷漏洞: 配置文件的内容有缺陷，例如，未设置统一的错误响应页面. 影响: 攻击者可以利用配置文件中的缺陷来攻击系统. 路径操作错误漏洞: 用户输入没有有效的安全控制手段即可直接操作文件. 影响: 攻击者可以控制路径参数以及访问或修改其他受保护的文件.

资源管理漏洞: 使用完资源后未关闭资源，或者可能未成功关闭资源. 影响: 攻击者可能会通过耗尽资源池来发起拒绝服务攻击，从而导致服务器性能下降甚至停机. 不安全的Ajax调用漏洞: 系统中存在不安全的Ajax调用. 影响: 攻击者可以利用此漏洞绕过验证程序，或直接编写脚本来调用Ajax方法以实现未经授权的操作. 系统信息泄漏漏洞: 异常捕获泄漏的系统信息. 影响: 攻击者可以从泄露的信息中找到有用的信息，并发动有针对性的攻击. 调试器残留漏洞: 该代码包含调试器，例如主要功能. 影响: 调试器将在应用程序中创建一些意外的入口点，并被攻击者利用. 输出结果和客户收入输出结果: “信息系统代码审核报告”该服务为XXXXXXXXXXX带来了以下好处: 1）为了提高系统的安全性和稳定性，应对源代码进行质量控制以确保源代码的质量. 代码; 2）确保系统稳定高效运行，控制不利因素，提高质量.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-242908-1.html