搜索

[13319] 2018-10-19_小型互联网企业安全建设的管窥之见

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-10-19_小型互联网企业安全建设的管窥之见 小 型 互 联 网 企 业 安 全 建 设 的 管 窥 之 见 原 创   s i 1 e n c e   F r e e B u f   2 0 1 8 - 1 0 - 1 9 0 x 0   背 景 背 景 最 近 发 现 大 家 都 在 讨 论 一 个 人 的 安 全 部 这 个 话 题 ， 两 年 前 在 某 最 近 发 现 大 家 都 在 讨 论 一 个 人 的 安 全 部 这 个 话 题 ， 两 年 前 在 某 A 轮 互 联 网 公 司 （ 轮 互 联 网 公 司 （ 8 0 人 左 右 的 研 发 团 队 ） 做 过 一 人 左 右 的 研 发 团 队 ） 做 过 一 段 一 个 人 的 安 全 部 的 经 验 就 简 单 分 享 自 己 的 经 验 。 之 前 也 在 段 一 个 人 的 安 全 部 的 经 验 就 简 单 分 享 自 己 的 经 验 。 之 前 也 在 F r e e B u f 看 到 过 很 多 关 于 这 方 面 的 规 划 设 计 的 方 看 到 过 很 多 关 于 这 方 面 的 规 划 设 计 的 方 案 ， 私 下 觉 得 这 样 的 规 划 是 建 立 一 些 标 准 的 信 息 安 全 体 系 之 上 的 比 较 全 面 ， 真 正 的 落 地 起 来 往 往 需 要 大 量 的 人 案 ， 私 下 觉 得 这 样 的 规 划 是 建 立 一 些 标 准 的 信 息 安 全 体 系 之 上 的 比 较 全 面 ， 真 正 的 落 地 起 来 往 往 需 要 大 量 的 人 力 物 力 和 财 力 ， 很 多 一 个 人 的 安 全 部 往 往 没 有 这 么 多 预 算 只 希 望 以 最 小 的 代 价 做 好 安 全 工 作 。 力 物 力 和 财 力 ， 很 多 一 个 人 的 安 全 部 往 往 没 有 这 么 多 预 算 只 希 望 以 最 小 的 代 价 做 好 安 全 工 作 。 一 点 个 人 经 验 之 谈 ， 大 佬 们 不 喜 勿 喷 。 一 点 个 人 经 验 之 谈 ， 大 佬 们 不 喜 勿 喷 。   0 x 1   工 作 环 境 工 作 环 境 往 往 也 就 是 自 己 一 个 人 做 安 全 ， 通 常 就 放 在 了 测 试 部 门 或 者 运 维 部 门 或 者 开 发 部 门 ， 你 的 直 属 上 级 可 能 是 一 个 经 验 丰 富 的 开 发 大 佬 、 运 维 大 佬 、 或 者 有 着 P M P 管 理 经 验 的 项 目 经 理 ， 他 们 对 于 安 全 的 理 解 并 没 有 那 么 深 刻 。 目 标 就 只 有 一 个 ： 安 全 还 是 很 重 要 。 你 来 了 ， 安 全 方 面 的 事 情 就 交 给 你 了 ， 尽 量 不 要 再 出 安 全 事 件 了 。 由 于 互 联 网 公 司 往 往 提 倡 扁 平 化 管 理 ， 公 司 的 B o s s 对 你 也 是 有 一 定 期 待 的 ： 大 家 都 说 安 全 很 重 要 ， 你 要 做 好 尽 量 少 花 钱 。 0 x 2   工 作 计 划 工 作 计 划   主 要 系 统 产 品 可 能 包 括 手 机 A P P 包 括 安 卓 端 与 I O S 端 、 几 个 对 外 的 网 站 系 统 、 几 个 对 内 的 网 站 系 统 ， 涉 及 几 十 台 主 机 系 统 。 也 许 还 被 w o o y u n 提 交 过 一 些 较 为 严 重 的 安 全 漏 洞 ， 所 以 当 务 之 急 是 尽 快 发 现 未 知 的 安 全 漏 洞 ， 先 救 火 再 治 理 分 5 步 走 。
0 x 3   安 全 漏 洞 修 复 安 全 漏 洞 修 复 首 先 需 要 确 认 范 围 从 同 事 们 手 里 拿 到 当 前 最 新 的 应 用 系 统 清 单 与 开 发 的 同 事 确 认 一 下 使 用 了 怎 么 样 的 技 术 组 件 等 ， 顺 便 熟 悉 一 下 相 关 的 一 些 业 务 流 程 与 功 能 。 需 要 治 理 的 安 全 漏 洞 主 要 简 单 的 分 为 4 类 ： 1 . 传 统 的 w e b 安 全 风 险 ， 如 常 见 的 s q l 盲 注 、 c o o k i e s 注 入 、 多 种 x s s 、 代 码 注 入 、 C S R F 、 敏 感 数 据 泄 漏 、 命 令 执 行 漏 洞 ， 文 件 包 含 、 文 件 上 传 绕 过 、 弱 密 码 、 任 意 文 件 下 载 等 ； 2 . 业 务 相 关 的 安 全 风 险 ， 比 如 短 信 借 口 过 滤 不 严 格 、 越 权 查 询 、 配 置 文 件 合 理 、 校 验 不 严 格 、 验 证 码 爆 破 、 明 文 传 输 密 码 、 任 意 用 户 密 码 重 置 等 ； 3 . 组 件 框 架 类 安 全 风 险 ， 比 如 S t r u c t 2 命 令 执 行 、 W e b l o g i c 组 件 漏 洞 、 j b o s s 漏 洞 、 I m a g e M a g i c k 命 令 执 行 、 网 页 编 辑 器 漏 洞 、 A p a c e 解 析 漏 洞 、 N g i n x 解 析 漏 洞 、 心 脏 出 血 等 ； 4 . 操 作 系 统 类 风 险 ， 比 如 w i n d o w s   3 3 8 弱 口 令 、 M S 0 8 - 0 6 7 、 h t t p . s y s 命 令 执 行   数 据 库 的 弱 漏 洞 、 S q l s e r v e r 的 配 置 风 险 等 。 为 了 梳 理 逻 辑 方 面 就 简 单 画 了 个 思 维 导 图 方 面 查 看 ：
剩 下 的 工 作 就 是 对 每 一 个 系 统 和 应 用 进 行 测 试 、 当 然 也 许 要 借 助 一 些 成 熟 的 安 全 工 具 进 行 测 试 。 当 时 也 想 到 一 些 不 错 的 i d e a 可 以 偷 懒 比 如 B u r p s u i t 联 动 S q l m a p 跑 接 口 参 数 对 测 试 s q l 注 入 与 x s s 就 能 省 下 不 少 工 作 量 、 比 如 使 用 w v s 的 w e b 端 设 置 任 务 列 表 可 以 半 夜 扫 描 、 检 查 l i n u x 配 置 项 可 以 自 己 写 s h e l l 、 g i t h u b 找 p o c 批 量 测 试 组 件 漏 洞 等 等 。 其 实 还 是 一 个 比 较 费 时 间 的 工 作 ， 一 个 应 用 系 统 差 不 多 一 周 到 二 周 就 测 试 完 毕 ， 毕 竟 9 9 6 的 工 作 模 式 。 将 发 现 的 安 全 问 题 截 图 保 存 并 梳 理 成 e x c e l 表 格 提 交 给 领 导 ， 并 跟 进 后 续 的 整 改 工 作 ， 后 来 发 现 常 见 的 安 全 问 题 基 本 都 有 ， 比 如 一 些 参 数 遍 历 可 以 导 致 系 统 所 有 的 订 单 数 据 被 脱 裤 、 还 有 短 信 验 证 码 就 4 位 又 没 有 次 数 限 制 的 情 况 也 是 很 普 遍 的 ， 想 想 还 是 觉 得 很 可 怕 比 较 还 是 有 不 少 个 人 数 据 。 0 x 4   应 用 加 固 应 用 加 固 安 全 加 固 就 是 相 对 比 较 容 易 一 些 了 ， 但 是 风 险 也 是 比 较 大 的 因 为 不 清 楚 可 能 会 造 成 什 么 样 的 影 响 ， 所 以 这 个 事 情 之 前 一 定 要 给 领 导 们 说 清 楚 先 慢 慢 测 试 最 后 实 施 的 时 候 出 一 个 整 体 的 方 案 。 主 要 包 含 L i n u x 主 机 的 加 固 、 W i n d o w s 主 机 的 加 固 、 数 据 库 的 策 略 优 化 、 应 用 加 固 ， 其 实 g o o g l e 一 下 还 是 能 搜 到 不 少 相 关 资 料 具 体 的 流 程 还 是 要 结 合 业 务 流 程 ， 内 容 大 同 小 异 。
网 站 应 用 的 防 护 既 然 不 想 花 钱 买 w a f 就 只 有 找 开 源 的 了 ， 由 于 大 量 基 于 n g i n x 的 服 务 器 当 时 主 要 在 n g i n x + l u a 来 实 现 W A F 和 n g i n x m o d s e c u r i t y 之 间 选 择 纠 结 过 ， 后 期 还 是 选 择 了 l u a 方 式 。
连 接 如 下 ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / M o d S e c u r i t y h t t p s : / / g i t h u b . c o m / u n i x h o t / w a f 运 维 安 全 也 是 要 有 才 行 ， 既 然 不 花 钱 买 设 备 就 使 用 开 源 的 J u m p S e r v e r ， 现 在 都 已 经 支 持 d o c k e r 部 署 了 ， 当 时 我 搭 建 这 个 还 是 花 了 一 些 时 间 ， 有 需 要 的 还 可 以 做 二 次 开 发 。 h t t p s : / / g i t h u b . c o m / j u m p s e r v e r / j u m p s e r v e r 接 口 安 全 ， 由 于 一 个 应 用 有 很 多 客 户 端 比 如 I O S 、 安 卓 端 、 微 信 端 等 多 种 平 台 一 套 统 一 的 A P I 就 显 得 格 外 重 要 了 。 由 于 接 口 很 多 参 数 的 条 件 过 滤 不 严 格 、 权 限 控 制 不 严 格 存 在 较 大 的 安 全 隐 患 、 整 改 起 来 工 作 量 较 大 ， 于 是 想 了 一 个 简 单 的 办 法 ， 对 h t t p 提 交 的 安 全 进 行 加 密 ， 主 要 采 用 A E S 加 密 保 证 了 完 整 性 和 保 密 性 ， 性 能 消 耗 也 在 毫 秒 级 可 以 忽 略 不 计 。
由 于 有 前 车 之 鉴 ， 对 图 片 上 传 的 控 制 就 更 加 严 格 一 些 ， 最 开 始 只 是 准 备 采 用 数 据 流 的 方 式 加 上 白 名 单 进 行 校 验 ， 领 导 居 然 还 觉 得 不 够 。 于 是 就 将 所 有 的 图 片 重 名 之 后 保 存 在 另 外 的 服 务 器 ， 数 据 库 当 中 只 关 联 相 关 的 访 问 的 路 径 。 0 x 5   安 全 开 发 安 全 开 发 开 发 的 各 位 都 是 大 佬 们 ， 当 然 不 能 得 罪 只 能 小 心 伺 候 着 。 但 是 安 全 也 还 是 要 做 ， 那 就 只 能 提 需 求 了 ， 这 里 较 多 的 参 考 了 O W A S P   指 南 ， 与 各 类 编 程 语 言 的 安 全 编 码 规 范 ， 但 是 又 不 能 说 别 人 代 码 有 问 题 ， 只 能 说 代 码 可 以 这 样 优 化 一 下 会 更 好 。 代 码 审 计 的 设 备 还 是 比 较 贵 的 、 什 么 F o r t i f y ， C h e c k m a r x 就 想 都 不 要 想 了 ， 还 好 有 一 些 开 源 的 代 码 审 计 工 具 可 以 用 用 。 R I P S ： h t t p s : / / s o u r c e f o r g e . n e t / p r o j e c t s / r i p s - s c a n n e r /
V C G （ V i s u a l C o d e G r e p p e r ） ： h t t p : / / s o u r c e f o r g e . n e t / p r o j e c t s / v i s u a l c o d e g r e p p / 对 于 编 码 完 成 之 后 的 项 目 ， 都 可 以 去 跑 一 下 但 是 涉 及 到 的 误 报 也 是 相 当 的 多 ， 所 以 静 态 扫 描 一 般 就 只 解 决 高 中 风 险 的 问 题 ， 自 己 还 要 配 合 开 发 大 佬 们 一 起 看 看 是 不 是 问 题 还 要 说 一 下 要 怎 么 优 化 会 更 好 ， 开 发 大 佬 是 得 罪 不 起 的 。 0 x 6   安 全 测 试 安 全 测 试 在 中 小 型 企 业 推 S D L 落 地 其 实 就 有 点 扯 淡 了 ， 谈 I S O 2 7 0 0 1 之 类 的 安 全 体 系 也 没 有 那 么 精 力 支 撑 。 对 上 线 前 的 应 用 系 统 主 要 进 行 安 全 测 试 ， 主 要 还 是 部 署 漏 扫 工 具 ， 主 要 没 有 什 么 大 问 题 其 他 都 好 说 。 比 如 在 K a l i 下 面 就 集 成 了 Z A P 、 o p e n v a s 和 g i t h u b 上 也 能 找 到 一 些 扫 描 工 具 重 点 关 注 一 些 高 位 漏 洞 风 险 大 的 问 题 ， 有 预 算 的 可 以 考 虑 买 了 个 A p p s c a n 或 者 W V S 的 商 业 版 也 不 是 特 别 贵 ， p o j i e 版 不 推 荐 如 果 不 怕 版 权 也 无 所 谓 。 大 版 本 有 较 多 新 代 码 的 版 本 就 自 己 手 动 测 试 一 下 ， 不 过 还 好 频 率 也 不 是 特 别 频 繁 ， 发 现 的 问 题 及 时 修 正 可 以 在 内 部 j i r a 这 种 缺 陷 管 理 工 具 注 册 一 个 帐 号 专 门 来 提 安 全 B u g 。
0 x 7   安 全 运 营 安 全 运 营 运 营 工 作 工 作 主 要 分 成 三 个 部 分 ： 第 一 ， 将 日 常 发 现 的 安 全 问 题 、 被 各 大 S R C 披 露 的 安 全 问 题 及 时 响 应 并 跟 进 修 复 ， 形 成 案 例 库 定 期 给 开 发 大 佬 们 交 流 经 验 根 本 不 敢 说 是 培 训 。 第 二 ， 及 时 跟 进 一 些 最 新 的 安 全 漏 洞 、 最 新 的 攻 击 手 法 督 促 开 发 大 佬 修 补 。 第 三 ， 总 结 工 作 内 容 ， 日 常 给 领 导 汇 报 体 现 价 值 。 0 x 8   总 结 总 结 一 个 人 的 安 全 部 有 时 候 压 力 还 是 很 大 的 ， 要 和 很 多 对 安 全 不 是 很 了 解 大 佬 们 一 起 工 作 总 会 被 嫌 弃 ， 感 觉 是 亲 妈 不 要 后 娘 不 爱 的 感 觉 。 领 导 们 的 想 法 也 很 简 单 ， 只 要 不 出 特 别 大 的 安 全 事 件 不 花 太 多 钱 工 作 自 由 度 还 是 比 较 高 的 ， 累 了 乏 了 的 时 候 刷 刷 乌 云 逛 逛 f r e e b u f ， 对 个 人 的 整 体 的 安 全 能 力 建 设 还 是 很 有 帮 助 的 。 当 然 一 个 人 的 安 全 部 也 可 以 很 欢 乐 ， 同 事 们 都 比 较 好 相 处 很 友 善 也 没 有 那 么 多 条 条 框 框 。 当 初 s 2 - 0 3 2 漏 洞 刚 刚 出 来 的 时 候 w o o y u n 都 被 刷 屏 了 大 家 连 夜 修 复 的 漏 洞 之 后 一 起 坐 在 成 都 的 路 边 撸 串 ， 感 觉 也 是 过 的 很 巴 适 。
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： s i 1 e n c e ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理