搜索

[10995] 2017-02-06_一个人的「安全部」

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-02-06_一个人的「安全部」 一 个 人 的 「 安 全 部 」 L i o n Z   F r e e B u f   2 0 1 7 - 0 2 - 0 6 * 本 文 原 创 作 者 ： L i o n Z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 我 在 某 教 育 公 司 负 责 公 司 整 体 安 全 ， 保 护 我 在 某 教 育 公 司 负 责 公 司 整 体 安 全 ， 保 护 6 0 0 0 多 万 多 万 “ 熊 孩 子 熊 孩 子 ” 的 安 全 。 一 年 半 的 时 间 从 什 么 都 没 到 现 在 的 逐 渐 成 型 ， 此 篇 文 的 安 全 。 一 年 半 的 时 间 从 什 么 都 没 到 现 在 的 逐 渐 成 型 ， 此 篇 文 章 进 行 了 一 个 总 结 ， 期 间 也 碰 到 了 的 很 多 坑 和 坎 ， 这 里 再 次 感 谢 帮 助 过 我 的 朋 友 们 ， 感 谢 章 进 行 了 一 个 总 结 ， 期 间 也 碰 到 了 的 很 多 坑 和 坎 ， 这 里 再 次 感 谢 帮 助 过 我 的 朋 友 们 ， 感 谢 M o t t o I n T e a m 小 伙 伴 。 小 伙 伴 。 由 于 涉 及 到 企 业 攻 防 ， 有 些 内 容 的 细 节 部 分 这 里 不 方 便 展 开 。 对 本 篇 文 章 有 任 何 问 题 都 可 加 我 微 信 一 起 探 讨 对 本 篇 文 章 有 任 何 问 题 都 可 加 我 微 信 一 起 探 讨 W e C h a t : a t i g e r 7 7 目 录 目 录 0 × 0 1 .   情 况 概 述         0 × 0 2 .   运 维 安 全         0 × 0 3 .   业 务 安 全         0 × 0 4 .   应 用 安 全         0 × 0 5 .   内 部 安 全         0 × 0 6 .   总 结 0 × 0 1 情 况 概 述 情 况 概 述 公 司 产 品 主 要 是 一 款 教 育 类 A P P ， 后 面 我 会 分 运 维 安 全 、 业 务 安 全 、 应 用 安 全 、 内 部 安 全 和 碰 到 的 问 题 以 及 解 决 方 法 进 行 展 开 。 如 果 你 的 公 司 像 我 一 样 只 有 一 个 人 或 者 几 个 同 学 负 责 ， 我 建 议 把 重 心 都 放 在 存 在 的 安 全 问 题 上 ， 比 如 业 务 场 景 中 的 薅 羊 毛 ， 刷 单 等 ， 用 户 模 块 的 扫 号 ， 盗 号 ， 业 务 安 全 线 的 安 全 测 试 等 。 先 处 理 这 些 直 接 会 带 来 损 失 的 安 全 问 题 再 逐 渐 完 善 ， 一 点 点 进 行 横 纵 向 扩 展 。 0 × 0 2   运 维 安 全 运 维 安 全 刚 入 职 所 在 的 公 司 因 为 没 有 安 全 部 门 ， 我 是 运 维 安 全 的 岗 位 进 入 了 运 维 部 。 我 在 原 有 的 基 础 上 又 做 了 一 些 安 全 提 升 ， 这 里 提 一 点 如 果 公 司 没 有 安 全 同 学 ， 对 于 运 维 同 学 而 言 ， 把 控 好 安 全 基 线 也 可 以 在 一 定 程 度 上 抵 御 一 些 攻 击 。 d e v o p s 里 的 一 些 运 维 自 动 化 工 具 比 如 a n s i b l e ,   s a l t s t a c k , p u p p e t 等 ， 以 a n s i b l e 为 列 在 初 始 化 的 r o l e 里 就 规 定 安 全 的 基 线 ， 如 ： S S H 禁 止 R O O T 登 录 、 修 改 S S H 默 认 端 口 、 禁 止 密 码 登 录 、 新 建 普 通 用 户 、 设 置 别 名 把 “ r m   - r f ” 类 似 命 令 进 行 替 换 等 等 。 保 证 交 付 给 开 发 的 机 器 都 一 样 ， 比 如 软 件 的 安 装 目 录 ， 由 于 历 史 原 因 有 一 些 记 录 上 的 环 境 都 是 开 发 自 己 安 装 的 ， 导 致 会 出 现 很 多 个 n g i n x 目 录 ， 处 理 起 来 非 常 烦 需 要 确 定 到 底 运 行 的 是 哪 一 个 目 录 下 的 n g i n x 才 可 以 继 续 操 作 。 当 然 建 议 公 司 使 用 堡 垒 机 ， 上 了 之 后 对 权 限 的 管 控 对 服 务 器 的 安 全 又 可 以 提 高 一 个 保 障 ， 之 前 也 调 研 过 目 前 堡 垒 机 情 况 ， 具 体 的 可 以 细 聊 。 除 了 服 务 器 ， 数 据 库 的 初 始 化 也 同 样 重 要 ， 初 始 化 只 给 开 发 普 通 帐 号 并 赋 予 对 应 权 限 ， 设 置 连 接 白 名 单 不 允 许 非 名 单 机 器 进 行 连 接 ， 密 码 一 律 多 位 数 复 杂 密 码 。 作 为 安 全 运 维 这 块 必 须 记 录 所 以 外 网 I P 及 对 应 端 口 ， 所 以 服 务 器 对 应 的 服 务 ， 由 于 每 个 公 司 情 况 不 同 ， 有 些 是 安 全 部 记 录 有 些 会 是 运 维 部 把 控 ， 根 据 自 己 的 情 况 来 即 可 。
a .   外 网 外 网 I P 及 对 应 开 放 端 口 及 对 应 开 放 端 口 除 了 解 析 商 那 里 的 记 录 自 己 必 须 保 存 一 份 最 新 的 ， 之 前 碰 到 过 一 个 情 况 自 己 在 做 外 网 I P 扫 描 的 时 候 发 现 有 一 个 I P 开 放 了 一 个 端 口 ， 爆 破 发 现 使 用 了 弱 密 码 ， 平 台 的 内 容 会 对 公 司 造 成 影 响 ， 先 停 止 这 个 转 发 通 知 开 发 进 行 整 改 。 对 于 这 种 情 况 有 两 点 ， 一 是 严 格 把 控 要 求 外 网 I P 的 要 求 ， 对 于 一 些 敏 感 业 务 若 没 有 经 过 安 全 测 试 不 予 提 供 外 网 访 问 。 二 是 记 录 所 有 外 网 I P 及 开 放 端 口 情 况 ， 有 相 关 自 己 平 台 的 可 以 添 加 一 页 ， 没 的 话 可 以 记 录 到 c o n f l u e n c e 中 即 时 更 新 。 b .   服 务 器 对 应 提 供 的 服 务 服 务 器 对 应 提 供 的 服 务 这 些 年 爆 出 了 大 大 小 小 一 堆 的 漏 洞 ， 每 次 收 到 还 都 是 下 班 以 后 o r z 。 具 体 漏 洞 修 复 方 法 这 里 就 不 具 体 阐 述 了 ， 有 兴 趣 可 以 看 之 前 写 的 一 篇 文 章 ： h t t p : / / w w w . m o t t o i n . c o m / 9 2 7 4 2 . h t m l 每 一 次 高 危 的 漏 洞 都 是 对 安 全 人 员 的 一 次 考 验 ， 就 是 和 时 间 赛 跑 晚 一 点 服 务 就 可 能 被 黑 ， 这 里 主 要 讲 一 下 我 从 收 到 漏 洞 预 警 到 处 理 的 一 个 流 程 。 获 取 漏 洞 信 息 获 取 漏 洞 信 息 可 以 多 订 阅 一 些 高 质 量 的 公 众 号 ， 加 一 些 相 关 的 安 全 群 尽 量 第 一 时 间 能 知 道 哪 个 服 务 出 了 问 题 ， 收 到 的 消 息 越 早 越 是 能 给 自 己 留 多 一 点 时 间 。 确 定 漏 洞 影 响 范 围 确 定 漏 洞 影 响 范 围 & 严 重 性 严 重 性 收 到 信 息 之 后 就 要 确 认 漏 洞 的 影 响 和 范 围 ， 这 个 服 务 公 司 是 否 部 署 ， 部 署 的 是 测 试 环 境 还 是 生 产 环 境 ， 分 别 有 多 少 台 ， 漏 洞 的 触 发 条 件 是 否 苛 刻 ， 造 成 的 影 响 有 多 大 等 问 题 。 如 果 自 己 无 法 判 断 漏 洞 严 重 性 的 话 可 以 多 和 朋 友 交 流 沟 通 ， 不 要 盲 目 的 去 修 复 升 级 ， 某 些 版 本 升 级 好 性 能 兼 容 性 可 能 会 出 现 问 题 。 对 于 影 响 范 围 之 前 也 点 到 过 必 须 记 录 服 务 器 上 部 署 的 应 用 ， 在 漏 洞 出 现 后 可 以 快 速 定 位 而 不 是 问 开 发 你 有 没 有 部 署 x x x 服 务 ， 我 是 记 录 在 了 运 维 的 C M D B 中 内 部 测 试 内 部 测 试 我 举 两 个 漏 洞 为 列 ，   一 个 脏 牛 漏 洞 ， 一 个 应 用 漏 洞 。 脏 牛 漏 洞 的 影 响 力 不 言 而 喻 ， 除 了 本 地 使 用 容 器 服 务 的 同 学 记 得 要 把 b a s e i m a g e 也 做 对 应 的 升 级 。 确 定 了 严 重 性 以 后 找 出 公 网 提 供 w e b 服 务 的 对 应 机 器 ， 先 用 长 亭 的 方 法 做 线 上 应 急 操 作 。 然 后 找 对 应 补 丁 对 内 网 测 试 环 境 进 行 升 级 测 试 ， 由 于 是 内 核 漏 洞 观 测 的 时 间 比 较 长 确 定 没 问 题 在 一 点 点 的 升 级 其 他 主 机 。 某 应 用 漏 洞 ， 由 于 这 个 服 务 不 对 外 提 供 服 务 所 以 紧 急 程 度 没 有 脏 牛 来 的 这 么 紧 ， 同 样 的 找 一 台 测 试 机 器 安 装 高 版 本 确 定 不 受 影 响 后 让 测 试 同 学 帮 忙 做 压 测 ， 看 新 版 和 旧 版 性 能 差 异 ， 如 果 没 问 题 就 上 一 个 下 一 个 直 至 全 部 升 级 完 成 。 上 线 观 测 上 线 观 测 这 里 切 记 ， 并 不 是 上 线 就 没 事 了 ， 上 线 之 后 必 须 再 做 一 次 复 测 确 定 没 有 问 题 并 持 续 观 察 服 务 稳 定 性 ， 做 好 随 时 回 滚 准 备 。 0 × 0 3   业 务 安 全 业 务 安 全 只 要 公 司 到 一 定 规 模 了 都 会 碰 到 这 些 情 况 ： 扫 号 ， 撞 库 ， 垃 圾 注 册 ， 刷 单 ， 刷 券 ， 羊 毛 党 ， 竞 品 攻 击 ， D D O S 等 等 。 先 说 D D O S ， 根 据 一 年 的 情 况 发 现 到 年 前 年 后 ， 熊 孩 子 开 学 ， 活 动 上 线 都 是 D D O S 的 高 发 期 ， 对 于 流 量 攻 击 我 们 选 择 了 一 家 做 流 量 清 洗 业 务 的 公 司 帮 助 我 们 做 恶 意 流 量 的 清 洗 ， 关 于 具 体 选 型 的 话 可 以 私 聊 。
接 着 说 一 下 对 其 他 情 况 的 处 理 ， 这 些 情 况 都 是 互 联 网 公 司 常 见 的 现 象 ， 只 要 规 模 上 去 了 ， 有 利 益 可 以 拿 就 会 被 攻 击 。 想 有 效 的 去 发 现 异 常 ， 阻 断 异 常 需 要 一 个 完 善 的 风 控 平 台 ， 我 讲 一 下 我 这 边 风 控 是 怎 么 做 的 以 及 碰 到 的 一 些 坑 和 对 应 接 的 方 法 。 首 先 要 知 道 做 风 控 是 为 了 解 决 已 经 出 现 的 安 全 问 题 并 能 即 时 的 阻 断 ， 刚 开 始 做 不 要 盲 目 的 模 仿 大 公 司 的 玩 法 。 大 公 司 有 自 己 专 门 的 团 队 去 做 这 个 ， 盲 目 的 模 仿 不 但 没 解 决 问 题 反 而 起 到 了 反 作 用 ， 一 开 始 做 也 别 想 着 可 视 化 ， 可 视 化 是 在 功 能 都 成 型 了 要 向 上 级 展 示 的 时 候 在 考 虑 的 东 西 。 找 到 出 现 的 问 题 ， 溯 源 问 题 的 原 因 ， 并 采 取 对 应 的 策 略 。 做 风 控 必 须 要 有 数 据 ， 没 有 数 据 的 支 撑 是 无 法 做 风 控 的 。 关 于 数 据 我 的 理 解 是 这 样 ： 风 控 使 用 到 的 日 志 有 别 于 B I 日 志 和 业 务 日 志 ， 安 全 日 志 是 可 分 析 异 常 用 户 行 为 ， 攻 击 趋 势 的 增 长 情 况 ， 最 后 做 到 先 于 攻 击 者 进 行 阻 断 保 护 系 统 安 全 稳 定 。 在 和 公 司 相 关 同 学 沟 通 的 时 候 他 们 也 会 问 一 些 问 题 ， 我 总 结 了 下 。 Q ： 安 全 日 志 ： 安 全 日 志   和 和   应 用 日 志 应 用 日 志   以 及 以 及   B I 日 志 日 志   有 什 么 区 别 ？ 有 什 么 区 别 ？ A ：   共 同 点 ： 三 者 都 是 记 录 业 务 产 生 的 动 作 行 为 。 不 同 点 ： 应 用 日 志 本 身 只 是 查 业 务 是 否 正 常 性 能 是 否 达 到 预 期 ， 切 重 于 业 务 本 身 。 B I 日 志 根 据 事 前 埋 点 收 集 用 户 行 为 进 行 分 析 为 各 个 部 门 提 供 相 关 数 据 分 析 ， 如 事 件 漏 洞 ， 转 换 率 等 等 。 安 全 日 志 主 要 记 录 安 全 相 关 信 息 ， 细 化 到 哪 一 个 用 户 在 哪 里 用 什 么 设 备 进 行 了 什 么 动 作 并 尝 试 了 多 少 次 ， 切 重 于 业 务 安 全 。 Q ： 有 了 ： 有 了 B I 日 志 还 需 要 安 全 日 志 嘛 ？ 日 志 还 需 要 安 全 日 志 嘛 ？ A ： 需 要 。 首 先 B I 日 志 目 前 没 有 涉 及 到 公 司 所 有 业 务 ， B I 的 日 志 并 不 是 为 了 安 全 而 生 更 重 要 的 是 为 其 他 部 分 提 供 数 据 支 撑 ， 从 而 更 好 的 掌 握 用 户 需 求 。 安 全 日 志 和 B I 日 志 必 然 会 产 生 交 集 ， 然 而 这 并 不 冲 突 。 对 于 风 控 策 略 而 言 安 全 日 志 是 实 时 可 查 看 的 ， 第 一 时 间 可 以 知 道 当 前 时 间 的 状 态 ， B I 日 志 是 事 后 进 行 统 计 数 据 广 度 更 大 ， 两 者 结 合 更 能 保 障 业 务 的 安 全 。 Q ： 安 全 日 志 主 要 记 录 哪 些 内 容 ？ ： 安 全 日 志 主 要 记 录 哪 些 内 容 ？ A ：   安 全 日 志 需 要 记 录 谁 在 什 么 时 候 用 了 什 么 东 西 干 了 什 么 结 果 是 怎 么 样 ， 等 一 连 串 用 户 纬 度 指 标 。 和 相 关 同 学 都 达 成 共 识 以 后 就 可 以 开 始 执 行 了 ， 我 使 用 E L K 对 日 志 进 行 收 集 分 析 ， l o g s t a s h _ a g e n t 把 安 全 日 志 o u t p u t 到 r e d i s 中 ， 再 由 一 台 l o g s t a s h _ i n d e x e r 取 r e d i s 中 的 数 据 o u t p u t 到 E S 集 群 中 ， 最 后 通 过 k i b a n a 进 行 展 示 （ 安 全 日 志 的 格 式 ， 部 署 等 细 节 可 以 私 聊 不 占 太 多 的 字 了 ） 。 有 了 数 据 以 后 通 过 k i b a n a 的 聚 合 就 可 以 发 现 异 常 的 问 题 了 ， 由 于 牵 涉 到 相 关 数 据 我 就 不 截 图 了 ， 以 用 户 模 块 为 例 就 可 以 有 很 多 的 判 断 纬 度 ， 仔 细 观 聚 合 后 的 数 据 就 可 以 发 现 对 应 的 安 全 问 题 。 那 么 这 些 纬 度 大 部 分 都 是 基 于 行 为 的 判 断 ， 除 了 行 为 的 还 有 基 于 特 征 的 ， 比 如 用 户 的 手 机 号 是 否 执 行 过 欺 诈 行 为 ， 我 测 试 过 某 安 的 反 欺 诈 产 品 结 果 还 不 错 。 以 上 这 些 都 是 不 同 的 规 则 有 基 于 行 为 的 也 有 基 于 特 征 的 ， 规 则 都 是 一 个 判 断 的 纬 度 但 不 是 触 发 了 规 则 用 户 就 一 定 不 好 ， 为 了 降 低 误 杀 率 我 们 会 给 规 则 定 分 数 。 当 一 个 用 户 总 分 到 了 阈 值 那 么 会 直 接 对 他 做 功 能 限 制 等 操 作 ， 如 果 触 发 高 危 动 作 也 会 直 接 阻 断 ， 具 体 策 略 每 个 公 司 都 不 一 样 根 据 自 己 实 际 情 况 制 定 即 可 。 如 果 有 人 力 的 话 也 可 以 把 日 志 导 入 到 S t o r m 里 根 据 自 己 的 需 求 用 b o l t 去 做 一 些 统 计 ， 要 高 可 用 的 话 推 荐 用 f l u m e + k a f k a + s t o r m 的 架 构 去 处 理 。 我 现 在 是 使 用 P y t h o n 去 进 行 分 析 处 理 ， 根 据 自 己 情 况 选 择 一 个 合 适 的 即 可 。 当 我 这 边 的 程 序 发 现 异 常 时 会 自 动 的 给 用 户 打 上 对 应 标 签 并 同 步 到 B I 的 系 统 中 进 行 记 录 ， 同 时 为 了 不 给 客 服 同 学 带 来 压 力 这 个 标 签 也 会 同 步 到 客 服 后 台 中 方 便 她 们 进 行 查 看 。 讲 一 下 羊 毛 党 ， 有 了 风 控 数 据 我 发 现 每 天 都 会 有 恶 意 注 册 ， 反 溯 这 些 帐 号 以 后 发 现 这 些 号 里 都 有 我 们 的 活 动 券 ， 根 据 活 动 券 内 容 确 定 是 哪 个 活 动 ， 询 问 相 关 产 品 活 动 规 则 策 略 ， 询 问 开 发 活 动 页 的 校 验 机 制 并 自 己 黑 盒 在 测 试 下 ， 确 定 不 是 因 为 漏 洞 导 致 的 就 开 始 做 自 己 的 提 升 ， 风 控 就 是 一 个 攻 防 的 对 垒 。         对 应 措 施 ： 对 应 措 施 ：
a .   提 高 注 册 门 槛 ； 机 器 识 别 ， 人 机 对 抗 ， 验 证 码 机 制 b .   修 改 产 品 策 略 ； 调 整 产 品 策 略 ， c .   优 化 风 控 规 则 ； 异 常 情 况 短 信 认 证 ， 对 抗 羊 毛 党 是 个 长 期 的 过 程 ， 随 着 你 的 机 制 升 级 了 ， 他 的 机 制 也 会 随 之 升 级 ， 就 是 成 本 和 利 益 的 问 题 ， 那 对 于 甲 方 来 说 就 是 不 断 提 高 自 己 的 门 槛 增 加 攻 击 的 成 本 ， 把 实 惠 给 到 真 正 的 用 户 上 。 现 在 也 有 很 多 安 全 、 风 控 团 队 在 分 享 的 时 候 会 讲 到 机 器 学 习 ， 通 过 设 定 的 模 型 来 判 断 异 常 用 户 ， 但 是 具 体 分 享 细 节 的 比 较 少 ， 由 于 公 司 里 很 多 机 器 学 习 方 面 的 科 学 家 ， 向 他 们 学 习 以 后 我 这 里 把 我 用 到 的 一 些 机 器 学 习 方 法 和 大 家 分 享 一 下 。 我 觉 得 在 风 控 中 机 器 学 习 的 优 势 在 于 ， 基 于 大 数 据 不 断 的 提 炼 调 优 模 型 会 越 来 越 完 善 ， 可 以 通 过 训 练 后 的 模 型 找 出 一 些 规 则 没 有 命 中 的 异 常 用 户 ， 在 逐 渐 的 完 善 规 则 。
之 前 有 看 到 过 有 同 学 用 随 机 森 林 去 判 断 异 常 流 量 的 ， 我 自 己 有 一 个 模 型 是 判 断 注 册 用 户 是 否 异 常 的 ， 模 型 的 分 数 如 下 ： 可 以 看 到 模 型 跑 出 的 分 数 很 高 ， 我 的 样 本 是 根 据 规 则 判 断 的 ， 所 以 最 好 的 情 况 结 果 就 是 逼 近 规 则 ， 需 要 一 直 对 模 型 进 行 迭 代 去 提 炼 更 多 的 规 则 ， 继 续 调 优 参 数 ， 让 模 型 判 断 不 单 单 限 于 几 个 限 定 的 样 本 规 则 。 0 × 0 4   应 用 安 全 应 用 安 全 由 于 只 有 一 个 人 ， S D L 在 公 司 很 难 去 推 行 ， 快 速 迭 代 的 版 本 上 线 每 次 检 测 到 的 漏 洞 一 问 都 已 经 上 线 了 好 几 个 月 ， 这 也 是 挺 被 动 的 一 点 。 开 发 的 安 全 意 识 和 水 平 都 不 一 样 ， 也 出 现 过 线 上 业 务 出 现 S Q L 注 入 的 问 题 ， 我 是 搞 过 一 次 全 员 的 技 术 分 享 ， 讲 一 下 主 流 的 一 些 W E B 漏 洞 和 一 些 逻 辑 漏 洞 ， 让 开 发 有 一 个 印 象 。 我 主 要 这 样 做 记 录 开 放 公 网 的 w e b 服 务 每 周 都 用 扫 描 器 去 跑 一 次 ， 对 于 大 版 本 的 升 级 我 会 自 己 再 测 一 次 。 前 段 时 间 同 程 开 源 了 一 款 内 部 漏 扫 工 具 - 巡 风 挺 不 错 的 ， 也 希 望 有 越 来 越 多 的 安 全 公 司 开 源 一 些 好 的 项 目 。 备 注 备 注 项 目 地 址 ：   h t t p s : / / g i t h u b . c o m / y s r c / x u n f e n g M e d i c e a n   D o c k e r 版 本 ： h t t p s : / / g i t h u b . c o m / M e d i c e a n / V u l A p p s / t r e e / m a s t e r / t o o l s / x u n f e n g A t i g e r 7 7   D o c k e r 版 本 ： h t t p s : / / g i t h u b . c o m / a t i g e r 7 7 / X u n F e n g _ D o c k e r 详 细 介 绍 & & u b u n t u 安 装 方 法 可 以 看 : h t t p : / / w w w . m o t t o i n . c o m / 9 4 2 5 3 . h t m l 公 司 主 要 的 产 品 是 a p p ， 对 于 移 动 端 的 反 编 译 这 块 我 不 是 很 熟 悉 找 了 一 家 公 司 做 过 渗 透 测 试 ， 测 试 下 来 也 会 发 现 一 些 问 题 ， 和 公 司 安 卓 的 老 司 机 交 流 以 后 确 定 修 复 方 案 。 端 的 东 西 加 固 就 是 让 攻 击 者 恶 心 ， 真 的 要 破 解 理 论 上 都 是 可 以 的 毕 竟 所 有 人 都 可 以 下 载 研 究 ， 只 是 增 加 攻 击 者 的 破 解 成 本 。 A P P 的 反 编 译 主 要 还 是 针 对 安 卓 ， 网 络 层 面 用 h t t p s +   P i n n i n g 在 一 定 程 度 上 增 加 了 抓 包 的 成 本 （ I O S 市 场 将 不 再 支 持 h t t p 协 议 的 a p p ， 如 果 还 没 升 h t t p s 可 以 尽 早 升 级 ） 。 端 的 加 固 主 要 是 保 证 a p k 不 能 被 重 打 包 ， 主 代 码 做 混 淆 ， 公 共 调 用 部 分 做 人 工 混 淆 ， s o 文 件 不 允 许 被 调 用 ， 不 允 许 模 拟 器 调 试 等 等
的 加 固 手 段 。 A P P 的 升 级 不 像 网 站 ， 修 复 漏 洞 以 后 测 试 过 就 可 以 上 线 （ 有 些 框 架 支 持 动 态 更 新 ） ， 移 动 端 会 有 版 本 问 题 ， 用 户 用 着 有 问 题 的 版 本 除 非 系 统 大 的 升 级 否 则 不 会 让 用 户 进 行 强 更 （ 太 影 响 用 户 体 验 了 会 导 致 用 户 流 失 ） 。 对 于 A P P 的 情 况 可 以 这 么 做 ， 降 低 低 版 本 的 功 能 使 用 限 制 。 对 过 低 的 版 本 使 用 人 数 也 少 的 可 以 要 求 产 品 进 行 强 制 升 级 的 操 作 。 最 后 说 一 下 数 据 存 储 问 题 ， 最 近 一 直 会 流 出 被 泄 露 的 库 有 些 库 密 码 就 是 简 单 的 M d 5 + s a l t ， 撞 库 一 下 就 可 以 跑 出 大 量 的 用 户 密 码 ， 无 论 是 对 企 业 还 是 用 户 都 会 造 成 伤 害 。 有 能 力 的 话 还 是 建 议 设 计 加 解 密 服 务 专 门 有 一 台 机 器 进 行 加 解 密 计 算 ， 把 用 户 的 敏 感 信 息 （ 任 何 能 联 系 上 用 户 的 信 息 都 算 敏 感 信 息 ， 不 单 单 是 密 码 ） 进 行 加 密 ， 这 个 我 是 没 推 成 功 ， 因 为 收 益 在 不 出 事 前 很 小 甚 至 是 没 有 。 如 果 这 个 推 送 不 动 还 可 以 推 一 下 加 密 方 案 ， 关 于 加 盐 每 个 用 户 应 该 使 用 随 机 盐 的 方 式 进 行 加 密 存 储 ， 目 前 大 部 分 的 公 司 都 是 使 用 固 定 盐 的 方 式 来 生 成 每 个 用 户 的 密 码 。 这 个 改 的 话 都 需 要 和 业 务 方 进 行 深 入 沟 通 ， 如 果 在 项 目 刚 启 动 需 求 讨 论 的 时 候 就 提 出 会 很 好 ， 一 旦 项 目 起 来 了 再 改 会 比 较 困 难 。 0 × 0 5   内 部 安 全 内 部 安 全 内 部 安 全 说 两 方 面 ， 一 个 是 内 部 访 问 的 一 些 系 统 比 如 X X 后 台 ， 这 种 可 以 查 看 到 敏 感 信 息 的 平 台 。 另 一 个 讲 一 下 人 员 的 安 全 意 识 和 办 公 网 的 安 全 。 第 一 是 内 部 的 平 台 ， 重 要 的 内 部 平 台 也 需 要 做 安 全 日 志 对 于 一 些 高 危 规 则 做 到 实 时 的 报 警 ， 如 果 没 有 W A F 的 可 以 使 用 脚 本 简 单 模 拟 一 下 ， 比 如 单 位 时 间 内 调 用 登 录 接 口 等 行 为 做 一 个 报 警 ， 设 计 到 修 改 金 额 的 面 板 必 须 做 到 实 时 的 记 录 。 含 有 查 看 用 户 信 息 功 能 的 平 台 需 要 记 录 使 用 者 的 操 作 日 志 ， 方 便 做 到 审 计 ， 和 开 发 同 学 确 认 做 好 权 限 把 控 ， 要 对 这 些 平 台 做 好 安 全 保 障 。 对 于 数 据 库 而 言 可 以 做 蜜 罐 表 ， 一 旦 有 触 发 也 立 刻 报 警 。 内 网 可 以 部 几 台 低 交 互 的 蜜 罐 挂 着 ， 之 前 有 写 过 一 个 有 需 要 的 朋 友 拿 来 改 改 就 能 用 h t t p s : / / g i t h u b . c o m / a t i g e r 7 7 / D i o n a e a 。 第 二 个 是 人 员 的 安 全 意 识 ， 入 职 这 家 公 司 以 后 做 的 就 是 内 部 安 全 的 提 升 ， 统 计 了 下 第 三 方 对 外 的 平 台 然 后 社 工 了 下 几 个 同 学 一 个 个 破 掉 他 们 的 帐 号 并 发 出 邮 件 告 知 （ 授 权 行 为 进 去 截 个 图 就 可 以 了 ） 。 然 后 要 求 对 所 以 外 网 的 一 些 平 台 都 要 求 二 次 认 证 。 内 部 的 话 每 次 新 同 学 入 职 都 会 加 入 网 络 安 全 ， 给 他 们 讲 讲 一 些 常 见 的 诈 骗 方 法 提 高 自 身 的 安 全 意 识 。 还 有 一 个 ， 定 期 扫 g i t h u b 上 的 代 码 ， 发 现 有 自 家 业 务 代 码 的 直 接 让 他 下 线 ， 有 时 候 也 可 以 发 现 一 些 竞 品 公 司 写 的 代 码 ， 厉 害 了 。 0 × 0 6   总 结 总 结 我 把 这 一 年 半 的 东 西 都 简 单 概 述 了 下 ， 颗 粒 度 再 细 的 可 以 加 我 微 信 聊 。 总 结 了 几 点 ： 1 .     没 有 老 板 支 持 一 切 都 是 吹 牛 逼 没 有 老 板 支 持 一 切 都 是 吹 牛 逼 ； 从 上 往 下 推 和 从 下 往 上 推 是 两 个 概 念 ； 2 .     先 做 最 紧 急 的 需 求 ， 全 部 解 决 以 后 再 考 虑 可 视 化 ； 东 西 丑 不 重 要     关 键 是 管 用 ， 东 西 再 好 看 解 决 不 了 问 题 也 是 白 搭 ； 3 .     必 要 时 可 考 虑 商 业 化 产 品 / 合 作 ， 如 堡 垒 机 ， 渗 透 测 试 等 ； 4 .     统 计 公 司 相 关 资 源 如 外 网 I P , 机 器 部 署 服 务 ， 别 到 了 漏 洞 爆 发 在 去 问 开 发 你 的 机 器 有 没 有 部 署 X X 服 务 ； 5 .     做 好 外 部 控 制 别 忘 记 做 内 控 ， 有 时 候 内 部 安 全 事 件 比 外 面 攻 击 更 可 怕 ； 6 . 多 和 公 司 老 司 机 聊 聊 天 ， 你 碰 到 的 一 些 坑 他 们 可 能 也 遇 到 过 ， 一 些 架 构 上 的 设 计 、 冗 余 、 优 化 方 案 都 可 以 多 找 他 们 讨 论 下 ； 每 个 人 的 精 力 有 限 不 可 能 什 么 都 面 面 俱 到 ， 多 和 公 司 的 老 司 机 交 流 有 些 东 西 他 们 可 能 都 接 触 过 了 ， 没 事 找 他 们 吃 吃 饭 交 易 交 易 会 有 意 想 不 到 的 收 获 ， 比 如 告 诉 你 S t r o m 的 任 务 优 先 级 控 制 ， 架 构 的 选 型 问 题 ， 机 器 学 习 的 一 些 玩 法 等 等 。 在 没 有 人 力 的 情 况 下 不 要 一 味 地 模 仿 大 公 司 的 玩 法 ， 找 到 自 己 公 司 出 现 的 问 题 并 着 手 解 决 ， 必 要 的 时 候 可 以 借 助 外 部 的 力 量 （ 前 提 是 你 公 司 有 预 算 ） 。
“ 你 之 所 以 看 不 见 黑 暗 ， 是 因 为 有 人 拼 命 把 它 挡 在 你 看 不 见 的 地 方 。 你 之 所 以 看 不 见 黑 暗 ， 是 因 为 有 人 拼 命 把 它 挡 在 你 看 不 见 的 地 方 。 ” 向 所 有 做 安 全 的 好 同 志 致 敬 。 向 所 有 做 安 全 的 好 同 志 致 敬 。 * 本 文 原 创 作 者 ： L i o n Z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理