搜索

[11379] 2017-05-24_Web开发者安全速查表

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-05-24_Web开发者安全速查表 W e b 开 发 者 安 全 速 查 表 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 5 - 2 4 想 要 开 发 出 一 个 安 全 的 、 健 壮 的 W e b 应 用 其 实 是 非 常 困 难 的 ， 如 果 你 觉 得 这 实 现 起 来 非 常 简 单 的 话 ， 那 么 你 一 定 是 一 个 X 炸 天 的 程 序 猿 ， 要 么 你 就 是 在 白 日 做 梦 … … 写 在 前 面 的 话 写 在 前 面 的 话 如 果 你 觉 得 你 可 以 在 一 个 月 之 内 开 发 出 一 款 集 使 用 价 值 、 用 户 体 验 度 、 以 及 安 全 性 为 一 身 的 产 品 ， 那 么 在 你 将 产 品 原 型 真 正 推 上 市 场 之 前 ， 请 一 定 要 三 思 啊 ！ 当 你 仔 细 核 查 了 本 文 给 出 的 安 全 小 贴 士 之 后 ， 你 可 能 会 发 现 你 在 产 品 的 开 发 阶 段 跳 过 了 很 多 重 要 的 安 全 步 骤 。 有 的 时 候 ， 也 许 你 应 该 对 你 的 用 户 坦 诚 一 点 ， 你 应 该 诚 实 地 告 诉 他 们 这 款 产 品 还 没 有 完 全 搞 定 ， 还 有 很 多 的 安 全 问 题 亟 待 解 决 。 下 面 的 这 份 速 查 表 非 常 简 洁 ， 而 且 绝 对 还 有 很 多 东 西 没 有 涉 及 到 。 就 我 个 人 而 言 ， 我 从 事 安 全 W e b 应 用 开 发 工 作 已 经 超 过 1 4 年 了 ， 而 本 文 给 出 的 小 贴 士 都 是 让 我 在 过 去 一 段 时 间 里 曾 痛 苦 不 堪 的 重 要 安 全 问 题 。 我 希 望 大 家 可 以 认 真 对 待 ， 不 仅 是 对 用 户 负 责 ， 也 要 对 自 己 的 职 业 生 涯 负 责 。 数 据 库 篇 1 .         对 类 似 访 问 令 牌 、 电 子 邮 箱 地 址 或 账 单 详 情 进 行 加 密 处 理 ， 尤 其 是 用 户 的 身 份 识 别 信 息 （ 密 码 ） 。 2 .         如 果 你 的 数 据 库 支 持 低 成 本 加 密 ， 请 确 保 开 启 这 项 功 能 并 保 护 主 机 磁 盘 中 的 数 据 。 与 此 同 时 ， 确 保 所 有 的 备 份 文 件 都 进 行 了 加 密 存 储 。 3 .         按 照 最 小 权 限 原 则 给 数 据 库 访 问 账 号 分 配 权 限 ， 不 要 使 用 数 据 库 的 r o o t 账 号 。 4 .         使 用 密 钥 存 储 器 来 保 存 或 派 发 密 钥 ， 不 要 直 接 将 密 钥 硬 编 码 在 你 的 应 用 之 中 。 5 .         通 过 使 用 S Q L 预 处 理 语 句 来 避 免 S Q L 注 入 攻 击 。 比 如 说 ， 如 果 你 使 用 的 是 N P M ， 那 么 请 不 要 使 用 n p m - m y s q l ， 你 应 该 用 的 是 n p m - m y s q l 2 ， 因 为 它 支 持 S Q L 预 处 理 语 句 。 开 发 篇 1 .         确 保 你 软 件 中 所 有 组 件 的 每 一 个 版 本 都 进 行 了 漏 洞 扫 描 ， 包 括 接 口 、 协 议 、 代 码 以 及 数 据 包 。 2 .         对 产 品 中 所 有 使 用 到 的 第 三 方 工 具 时 刻 保 持 警 惕 性 ， 选 择 一 款 安 全 系 数 较 高 的 开 发 平 台 。 身 份 验 证 篇 1 .         使 用 合 适 的 加 密 算 法 （ 例 如 b c r y p t ） 来 计 算 并 存 储 密 码 哈 希 ， 在 初 始 加 密 时 选 择 合 适 的 随 机 数 据 ， 还 有 就 是 千 万 不 要 自 己 去 写 一 个 加 密 算 法 。
2 .         使 用 简 单 但 健 壮 的 密 码 规 则 ， 以 鼓 励 用 户 设 置 长 度 足 够 安 全 的 随 机 密 码 。 3 .         在 服 务 的 登 录 机 制 中 引 入 多 因 素 身 份 验 证 功 能 。 D o S 保 护 篇 1 .         确 保 那 些 针 对 A P I 的 D o S 攻 击 不 会 严 重 影 响 你 网 站 的 正 常 运 行 ， 至 少 要 限 制 A P I 的 请 求 访 问 速 率 。 2 .         对 用 户 所 提 交 的 数 据 和 请 求 进 行 结 构 和 大 小 的 限 制 。 3 .         使 用 类 似 C l o u d F l a r e 这 样 的 缓 存 代 理 服 务 来 为 你 的 W e b 应 用 添 加 D D o S 缓 解 方 案 。 W e b 流 量 篇 1 .         使 用 T L S ， 不 只 是 你 的 登 录 表 单 和 网 站 响 应 数 据 ， 而 是 你 的 整 个 网 站 都 应 该 使 用 T L S 。 2 .         C o o k i e 必 须 为 h t t p O n l y 。 3 .         使 用 C S P （ 内 容 安 全 策 略 ） ， 虽 然 配 置 过 程 比 较 麻 烦 ， 但 这 觉 得 是 值 得 的 。 4 .         在 客 户 端 响 应 中 使 用 X - F r a m e - O p t i o n 和 X - X S S - P r o t e c t i o n 头 。 5 .         使 用 H S T S 响 应 ， 使 用 H T T P S 。 6 .         在 所 有 的 表 单 中 使 用 C S R F 令 牌 。 A P I   篇 1 .         确 保 你 所 有 的 公 共 A P I 中 没 有 可 以 枚 举 的 资 源 。 2 .         确 保 用 户 在 使 用 你 的 A P I 之 前 ， 对 他 们 的 身 份 进 行 验 证 。 验 证 篇 1 .         在 客 户 端 对 用 户 的 输 入 进 行 验 证 ， 并 即 使 给 予 反 馈 （ A j a x ） ， 但 永 远 不 要 相 信 用 户 输 入 的 数 据 。 2 .         在 服 务 器 端 再 对 用 户 所 输 入 的 每 一 个 字 符 进 行 一 次 彻 底 的 验 证 ， 永 远 不 要 直 接 将 用 户 输 入 的 内 容 注 入 到 响 应 数 据 中 ， 永 远 不 要 直 接 在 S Q L 语 句 中 插 入 用 户 提 供 的 数 据 。
云 端 配 置 篇 1 .         确 保 所 有 的 服 务 只 开 启 必 要 的 端 口 ， 关 闭 不 用 的 端 口 ， 并 对 常 用 端 口 进 行 强 制 性 的 安 全 保 护 ， 因 为 通 过 非 标 准 端 口 来 进 行 攻 击 对 于 攻 击 者 而 言 相 对 来 说 是 比 较 困 难 的 。 2 .         确 保 服 务 器 后 台 数 据 库 和 后 台 服 务 无 法 通 过 公 网 查 看 到 。 3 .         在 单 独 的 V P C 节 点 配 置 逻 辑 服 务 或 提 供 服 务 内 通 信 。 4 .         确 保 所 有 的 服 务 只 接 受 来 自 有 限 I P 地 址 的 数 据 。 5 .         限 制 输 出 数 据 的 I P 地 址 以 及 端 口 。 6 .         使 用 A W S   I A M 角 色 ， 不 要 使 用 r o o t 凭 证 。 7 .         对 所 有 的 管 理 员 和 开 发 人 员 提 供 最 小 的 访 问 权 限 。 8 .         定 期 更 换 密 码 和 访 问 密 钥 。 基 础 设 施 篇 1 .         确 保 可 以 在 主 机 不 下 线 的 情 况 下 进 行 更 新 操 作 ， 确 保 部 署 了 全 自 动 化 的 软 件 更 新 策 略 。 2 .         使 用 类 似 T e r r a f o r m 这 样 的 工 具 来 创 建 所 有 的 基 础 设 施 ， 不 要 使 用 云 端 c o n s o l e （ 控 制 台 ） 来 进 行 创 建 。 3 .         对 所 有 服 务 的 日 志 进 行 集 中 记 录 ， 不 要 通 过 S S H 来 访 问 或 获 取 日 志 。 4 .         不 要 让 A W S 服 务 组 的 端 口 2 2 保 持 开 启 状 态 。 5 .         一 定 要 部 署 入 侵 检 测 系 统 。 操 作 篇 1 .         关 闭 不 用 的 服 务 和 服 务 器 ， 因 为 最 安 全 的 服 务 器 是 那 些 关 闭 着 的 服 务 器 。 测 试 篇 1 .         开 发 完 成 之 后 ， 对 你 的 设 计 和 代 码 实 现 进 行 多 次 安 全 审 查 。 2 .         进 行 渗 透 测 试 ， 也 就 是 自 己 黑 自 己 ， 但 你 也 要 让 别 人 来 对 你 的 网 站 进 行 渗 透 测 试 。 计 划 篇 1 .         创 建 一 个 安 全 威 胁 模 型 ， 用 来 描 述 你 可 能 会 遇 到 的 威 胁 以 及 攻 击 者 。 2 .         设 计 一 个 安 全 应 急 响 应 方 案 ， 你 总 有 一 天 会 用 到 的 。
篇 尾 语 篇 尾 语 如 果 你 觉 得 这 个 清 单 遗 漏 了 什 么 的 话 ， 欢 迎 在 文 章 下 方 的 评 论 区 留 言 补 充 ， 安 全 社 区 的 壮 大 需 要 大 家 的 共 同 努 力 。 *   参 考 来 源 ： s i m p l e s e c u r i t y ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理