搜索

[1189] 2018-03-01_开源软件源代码安全缺陷分析报告——探秘国内知名互联网公司产品安全状况第二期

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-03-01_开源软件源代码安全缺陷分析报告——探秘国内知名互联网公司产品安全状况第二期 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 — — 探 秘 国 内 知 名 互 联 网 公 司 产 品 安 全 状 况 第 二 期 C N C E R T 软 件 安 全   C N C E R T 风 险 评 估   2 0 1 8 - 0 3 - 0 1 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 — — 探 秘 国 内 知 名 互 联 网 公 司 产 品 安 全 状 况 第 二 期 探 秘 国 内 知 名 互 联 网 公 司 产 品 安 全 状 况 第 二 期 1 、 概 述 、 概 述 随 着 软 件 技 术 飞 速 发 展 ， 开 源 软 件 已 在 全 球 范 围 内 得 到 了 广 泛 应 用 。 数 据 显 示 ， 从 2 0 1 2 年 起 ， 已 有 超 过 8 0 % 的 商 业 软 件 使 用 开 源 软 件 。 开 源 软 件 的 代 码 一 旦 存 在 安 全 问 题 ， 必 将 造 成 广 泛 、 严 重 的 影 响 。 为 了 解 开 源 软 件 的 安 全 情 况 ， C N C E R T 持 续 对 广 泛 使 用 的 知 名 开 源 软 件 进 行 源 代 码 安 全 缺 陷 分 析 ， 并 发 布 季 度 安 全 缺 陷 分 析 报 告 。 本 期 报 告 聚 焦 国 内 知 名 互 联 网 公 司 的 软 件 安 全 开 发 现 状 ， 通 过 检 测 公 司 旗 下 多 款 开 源 软 件 产 品 的 安 全 缺 陷 ， 评 估 各 公 司 的 代 码 安 全 控 制 情 况 。 针 对 国 内 知 名 互 联 网 公 司 ， 选 取 关 注 度 高 的 开 源 项 目 ， 结 合 缺 陷 扫 描 工 具 和 人 工 审 计 的 结 果 ， 对 各 公 司 的 项 目 安 全 性 进 行 评 比 。 2 、 被 测 开 源 软 件 、 被 测 开 源 软 件 本 期 报 告 聚 焦 国 内 知 名 互 联 网 公 司 和 I C T 公 司 ： 华 为 、 小 米 、 搜 狐 、 美 团 、 大 众 点 评 ， 综 合 考 虑 用 户 数 量 、 受 关 注 程 度 等 情 况 ， 选 取 了 这 些 公 司 旗 下 的 2 0 款 具 有 代 表 性 的 开 源 项 目 ， 表 1 列 出 了 本 次 被 测 的 开 源 软 件 项 目 的 概 况 。 表 1   被 测 开 源 软 件 项 目 概 览 项 目 名 称 项 目 名 称 版 本 号 版 本 号 主 要 编 程 语 主 要 编 程 语 言 言 公 司 名 称 公 司 名 称 功 能 说 明 功 能 说 明 代 码 行 数 代 码 行 数 ( L ) e S D K _ S S O   2 . 1 . 0 0     J a v a           华 为 单 点 登 录 软 件 ， 提 供 了 用 户 只 需 要 一 次 登 录 就 可 以 访 问 所 有 相 互 信 任 的 应 用 系 统 的 功 能 1 , 8 7 0 O p e n A p i _ W i n d o w s _ J a v a   2 R 1 C 0 0     J a v a 华 为 e S D K 提 供 e S D K O p e n A p i ( J a v a )   A P I   可 以 帮 助 开 发 者 通 过 调 用 R E S T 接 口 对 存 储 设 备 进 行 资 源 管 理 3 6 , 3 0 0 I o T _ O c e a n C o n n e c t 1 . 1   J a v a 华 为 O c e a n C o n n e c t 北 向 R E S T f u l 接 口 ， 完 成 了 北 向 应 用 大 部 分 的 功 能 3 , 9 9 9 e S D K _ F C _ S D K _ J a v a 2 . 1 . 0 0     J a v a F u s i o n C o m p u t e 是 云 操 作 系 统 软 件 ， 主 要 负 责 硬 件 资 源 的 虚 拟 化 ， 以 及 对 虚 拟 资 源 、 业 务 资 源 、 用 户 资 源 的 集 中 管 理 1 4 9 , 6 0 0 a n d r o i d _ t v _ m e t r o 1 . 0   J a v a       小 米 专 辑 和 显 示 项 目 1 2 , 8 5 9 L u c k y M o n e y T o o l 1 . 0   J a v a 抢 红 包 2 7 2 c h r o n o s 1 . 0   J a v a 微 信 后 台 团 队 自 主 研 发 的 基 于 P a x o s 协 议 的 多 机 状 态 拷 贝 类 库 3 , 5 1 4 l i n d e n 1 . 0   J a v a l i n d e n 是 一 个 建 立 在 L u c e n e 之 上 的 分 布 式 实 时 搜 索 系 统 3 1 , 1 0 0
C a c h e c l o u d         1 . 3             J a v a             搜 狐 C a c h e C l o u d 提 供 一 个 R e d i s 云 管 理 平 台 ： 实 现 多 种 类 型 ( R e d i s   S t a n d a l o n e 、 R e d i s   S e n t i n e l 、 R e d i s   C l u s t e r ) 自 动 部 署 、 解 决 R e d i s 实 例 碎 片 化 现 象 、 提 供 完 善 统 计 、 监 控 、 运 维 功 能 、 减 少 运 维 成 本 和 误 操 作 ， 提 高 机 器 的 利 用 率 ， 提 供 灵 活 的 伸 缩 性 ， 提 供 方 便 的 接 入 客 户 端 9 2 , 6 0 0 j e d i s - 2 . 8 . 0 - s t a t 2 . 8 . x   a n d   3 . 0 . x J a v a 精 简 版 r e d i s   j a v a 客 户 端 2 6 , 8 0 0 s o h u t v . g i t h u b . i o 1 . 0 J a v a s c r i p t 高 可 用 ， 高 性 能 ， 分 布 式 有 序 队 列 7 , 0 0 7 p u s h c l o u d - d e m o 1 . 0 P H P / J a v a p u s h c l o u d - d e m o 展 示 模 块 8 , 4 6 0 c a t 1 . 3 . 8 J a v a s c r i p t         大 众 点 评 C A T 基 于 J a v a 开 发 的 实 时 应 用 监 控 平 台 ， 包 括 实 时 应 用 监 控 ， 业 务 监 控 4 8 4 , 9 0 0 P i g e o n   2 . 9 . 7     J a v a P i g e o n 是 一 个 分 布 式 服 务 通 信 框 架 （ R P C ） ， 在 美 团 点 评 内 部 广 泛 使 用 ， 是 美 团 点 评 最 基 础 的 底 层 框 架 之 一 5 8 , 6 0 0 Z e b r a   2 . 8 . 3   J a v a Z e b r a 是 点 评 内 部 使 用 的 数 据 库 访 问 层 中 间 件 3 3 , 5 0 0 d i a n p i n g - o p e n - s d k 1 . 0   J a v a 大 众 点 评 网 的 A P I 5 , 6 7 9 R o b u s t 0 . 4 . 7 2   J a v a         美 团 R o b u s t 是 新 一 代 热 更 新 系 统 4 , 1 8 1 w a l l e 1 . 1 . 5   J a v a A n d r o i d   S i g n a t u r e   V 2     S c h e m e 签 名 下 的 渠 道 包 打 包 器 5 , 0 1 2 D B P r o x y 0 . 0 . 2     C D B P r o x y 是 由 美 团 点 评 公 司 技 术 工 程 部 D B A 团 队 （ 北 京 ） 开 发 维 护 的 一 个 基 于 M y S Q L 协 议 的 数 据 中 间 层 8 0 , 3 0 0 S Q L A d v i s o r 1 . 0 . 0     C S Q L A d v i s o r 是 由 美 团 点 评 公 司 技 术 工 程 部 D B A 团 队 开 发 维 护 的 一 个 分 析 S Q L 给 出 索 引 优 化 建 议 的 工 具 4 8 , 8 9 0 0 3 、 测 试 内 容 、 测 试 内 容 3 . 1 、 安 全 缺 陷 种 类 、 安 全 缺 陷 种 类 本 次 测 试 涵 盖 各 类 常 见 安 全 缺 陷 。 根 据 缺 陷 形 成 的 原 因 、 被 利 用 的 可 能 性 、 造 成 的 危 害 程 度 和 解 决 的 难 度 等 因 素 进 行 综 合 考 虑 ， 可 以 将 常 见 的 安 全 缺 陷 分 为 八 类 ： 1 、 输 入 验 证 与 表 示 、 输 入 验 证 与 表 示 （ （ I n p u t   V a l i d a t i o n   a n d   R e p r e s e n t a t i o n ） ） 输 入 验 证 与 表 示 问 题 通 常 是 由 特 殊 字 符 、 编 码 和 数 字 表 示 所 引 起 的 ， 这 类 问 题 的 发 生 是 由 于 对 输 入 的 信 任 所 造 成 的 。 这 些 问 题 包 括 ： 缓 冲 区 溢 出 、 跨 站 脚 本 、 S Q L 注 入 、 命 令 注 入 等 。 2 、 、 A P I 误 用 （ 误 用 （ A P I   A b u s e ) A P I 是 调 用 者 与 被 调 用 者 之 间 的 一 个 约 定 ， 大 多 数 的 A P I 误 用 是 由 于 调 用 者 没 有 理 解 约 定 的 目 的 所 造 成 的 。 当 使 用 A P I 不 当 时 ， 也 会 引 发 安 全 问 题 。
3 、 安 全 特 性 （ 、 安 全 特 性 （ S e c u r i t y   F e a t u r e s ） ） 该 类 别 主 要 包 含 认 证 、 访 问 控 制 、 机 密 性 、 密 码 使 用 和 特 权 管 理 等 方 面 的 缺 陷 。 4 、 时 间 和 状 态 （ 、 时 间 和 状 态 （ T i m e   a n d   S t a t e ） ） 分 布 式 计 算 与 时 间 和 状 态 有 关 。 线 程 和 进 程 之 间 的 交 互 及 执 行 任 务 的 时 间 顺 序 往 往 由 共 享 的 状 态 决 定 ， 如 信 号 量 、 变 量 、 文 件 系 统 等 。 与 分 布 式 计 算 相 关 的 缺 陷 包 括 竞 态 条 件 、 阻 塞 误 用 等 。 5 、 错 误 和 异 常 处 理 缺 陷 （ 、 错 误 和 异 常 处 理 缺 陷 （ E r r o r s ） ） 这 类 缺 陷 与 错 误 和 异 常 处 理 有 关 ， 最 常 见 的 一 种 缺 陷 是 没 有 恰 当 的 处 理 错 误 （ 或 者 没 有 处 理 错 误 ） 从 而 导 致 程 序 运 行 意 外 终 止 ， 另 一 种 缺 陷 是 产 生 的 错 误 给 潜 在 的 攻 击 者 提 供 了 过 多 信 息 。 6 、 代 码 质 量 问 题 （ 、 代 码 质 量 问 题 （ C o d e   Q u a l i t y ） ） 低 劣 的 代 码 质 量 会 导 致 不 可 预 测 的 行 为 。 对 于 攻 击 者 而 言 ， 低 劣 的 代 码 使 他 们 可 以 以 意 想 不 到 的 方 式 威 胁 系 统 。 常 见 的 该 类 别 缺 陷 包 括 死 代 码 、 空 指 针 解 引 用 、 资 源 泄 漏 等 。 7 、 封 装 和 隐 藏 缺 陷 （ 、 封 装 和 隐 藏 缺 陷 （ E n c a p s u l a t i o n ） ） 合 理 的 封 装 意 味 着 区 分 校 验 过 和 未 经 检 验 的 数 据 ， 区 分 不 同 用 户 的 数 据 ， 或 区 分 用 户 能 看 到 和 不 能 看 到 的 数 据 等 。 常 见 的 缺 陷 包 括 隐 藏 域 、 信 息 泄 漏 、 跨 站 请 求 伪 造 等 。 8 、 代 码 运 行 环 境 的 缺 陷 （ 、 代 码 运 行 环 境 的 缺 陷 （ E n v i r o n m e n t ） ） 该 类 缺 陷 是 源 代 码 之 外 的 问 题 ， 例 如 运 行 环 境 配 置 问 题 、 敏 感 信 息 管 理 问 题 等 ， 它 们 对 产 品 的 安 全 仍 然 是 至 关 重 要 的 。 前 七 类 缺 陷 与 源 代 码 中 的 安 全 缺 陷 相 关 ， 它 们 可 以 成 为 恶 意 攻 击 的 目 标 ， 一 旦 被 利 用 会 造 成 信 息 泄 露 、 权 限 提 升 、 命 令 执 行 等 严 重 后 果 。 最 后 一 类 缺 陷 描 述 实 际 代 码 之 外 的 安 全 问 题 ， 它 们 容 易 造 成 软 件 的 运 行 异 常 、 数 据 丢 失 等 严 重 问 题 。 3 . 2 、 安 全 缺 陷 级 别 、 安 全 缺 陷 级 别 我 们 将 源 代 码 的 安 全 问 题 分 为 三 种 级 别 ： 高 危 （ H i g h ） 、 中 等 （ M e d i u m ） 和 低 （ L o w ） 。 衡 量 级 别 的 标 准 包 括 两 个 维 度 ， 置 信 程 度 （ c o n f i d e n c e ） 和 严 重 程 度 （ s e v e r i t y ） 。 置 信 程 度 是 指 发 现 的 问 题 是 否 准 确 的 可 能 性 ， 比 如 将 每 个 s t r c p y 函 数 调 用 都 标 记 成 缓 冲 区 溢 出 缺 陷 的 可 信 程 度 很 低 。 严 重 程 度 是 指 假 设 测 试 技 术 真 实 可 信 的 情 况 下 检 出 问 题 的 严 重 性 ， 比 如 缓 冲 区 溢 出 通 常 是 比 变 量 未 初 始 化 更 严 重 的 安 全 问 题 。 将 这 两 个 因 素 综 合 起 来 可 以 准 确 的 为 安 全 问 题 划 分 级 别 ， 如 图 1 所 示 。
图 1   缺 陷 级 别 与 严 重 程 度 、 置 信 程 度 的 关 系 4 、 开 源 软 件 项 目 的 安 全 缺 陷 情 况 、 开 源 软 件 项 目 的 安 全 缺 陷 情 况 本 报 告 仅 针 对 检 出 的 高 危 、 中 危 缺 陷 进 行 统 计 和 分 析 。 本 部 分 首 先 展 示 从 被 测 项 目 中 检 出 安 全 缺 陷 的 数 量 ， 并 由 此 对 国 内 互 联 网 公 司 的 产 品 安 全 性 进 行 比 较 ； 然 后 进 一 步 讨 论 各 公 司 被 测 项 目 中 安 全 缺 陷 的 分 布 情 况 ， 了 解 各 公 司 出 现 较 多 的 缺 陷 类 型 ； 最 后 结 合 上 一 期 报 告 中 国 外 互 联 网 公 司 产 品 安 全 性 评 估 数 据 ， 对 国 内 外 互 联 网 公 司 的 产 品 安 全 情 况 展 开 对 比 。 4 . 1 、 安 全 缺 陷 情 况 概 览 、 安 全 缺 陷 情 况 概 览 本 部 分 展 示 被 测 项 目 查 出 缺 陷 的 数 量 ， 由 此 对 被 测 项 目 的 安 全 性 进 行 大 致 的 评 估 。 图 2 展 示 了 各 个 项 目 高 危 、 中 危 缺 陷 的 数 量 ， 并 按 照 高 危 缺 陷 数 量 对 项 目 进 行 了 排 序 ， 图 中 用 蓝 色 折 线 图 展 示 了 每 千 行 包 含 缺 陷 数 。 在 本 次 被 测 软 件 中 ， 华 为 的 软 件 O p e n A p i _ W i n d o w s _ J a v a （ 通 过 调 用 接 口 对 存 储 资 源 进 行 管 理 ） 不 存 在 高 危 缺 陷 ， 同 时 中 危 缺 陷 数 量 也 较 少 ， 软 件 安 全 质 量 相 对 较 好 。 小 米 的 软 件 L u c k y M o n e y T o o l （ 抢 红 包 ） 虽 然 也 不 存 在 高 危 缺 陷 ， 中 危 缺 陷 数 量 也 少 ， 但 是 由 于 软 件 代 码 行 数 过 少 ， 不 具 备 一 定 的 统 计 意 义 。 华 为 的 物 联 网 北 向 应 用 G U I 程 序 I o T _ O c e a n C o n n e c t 在 本 次 被 测 的 2 0 款 软 件 中 高 危 缺 陷 居 多 。 在 5 9 个 高 危 缺 陷 中 ， 存 在 3 5 个 h t t p 响 应 截 断 问 题 ， 可 能 导 致 攻 击 者 注 入 自 定 义 的 h t t p 头 ， 存 在 1 0 个 代 码 质 量 问 题 （ 用 户 信 息 未 得 到 充 分 保 护 ） ， 存 在 1 4 个 h t t p 参 数 污 染 的 问 题   。 大 众 点 评 的 三 款 开 源 软 件 ， c a t 、 p i g e o n 也 包 含 了 数 量 较 多 的 高 危 缺 陷 。 在 两 款 软 件 总 计 1 0 7 个 高 危 缺 陷 中 ， 除 包 括 跨 站 脚 本 （ 2 1 个 ） 、 h t t p 响 应 截 断 （ 1 2 个 ） 、 不 安 全 的 随 机 数 （ 1 0 个 ） 等 常 见 缺 陷 外 ， 还 包 括 流 资 源 未 释 放 ， A P I 误 用 ， 空 引 用 等 安 全 缺 陷 。
图 2   开 源 软 件 项 目 缺 陷 情 况 中 高 危 缺 陷 总 数 最 多 的 是 来 自 大 众 点 评 的 数 据 访 问 中 间 件 z e b r a ， 总 计 2 0 3 个 高 中 危 缺 陷 中 包 含 1 4 2 个 数 据 库 资 源 未 释 放 ， 主 要 是 程 序 创 建 数 据 库 对 象 资 源 后 未 进 行 合 理 释 放 ， 导 致 攻 击 者 可 通 过 数 据 库 连 接 池 耗 尽 的 方 式 发 起 拒 绝 服 务 攻 击 。 考 虑 到 项 目 的 绝 对 缺 陷 数 量 可 能 与 项 目 大 小 相 关 ， 因 此 本 报 告 计 算 了 每 千 行 缺 陷 数 ， 用 该 数 据 反 映 缺 陷 在 项 目 中 的 分 布 密 度 。 根 据 该 数 据 ， 代 码 安 全 性 最 好 的 前 5 个 项 目 依 次 是 华 为 的 e S D K _ F C _ S D K _ J a v a （ 0 . 0 7 ） , 搜 狐 的 s o h u T V （ 0 . 0 7 ） 、 P u s h C l o u d （ 0 . 1 1 ） ， 美 团 的 S Q L A d v i s o r （ 0 . 1 2 ） 和 大 众 点 评 的 c a t （ 0 . 1 4 ） 。 而 缺 陷 分 布 密 度 相 对 较 高 的 项 目 是 华 为 的 I o T _ O c e a n C o n n e c t （ 1 0 . 7 3 ） 、 e S D K _ S S O （ 3 . 5 2 ） , 大 众 点 评 的 z e b r a （ 4 . 5 3 ） 、 d i a n p i n g _ o p e n _ s d k ( 2 . 7 3 ) 和 小 米 的 L u c k y   M o n e y T o o l （ 3 . 0 8 ） 。 可 以 看 到 ， 不 同 项 目 的 缺 陷 密 度 差 别 巨 大 ， 其 中 华 为 的 e S D K _ F C _ S D K _ J a v a 项 目 平 均 大 约 每 1 . 5 万 行 代 码 会 出 现 一 个 缺 陷 ， 而 同 样 是 华 为 的 I o T _ O c e a n C o n n e c t 项 目 平 均 大 约 每 1 0 0 行 代 码 就 会 出 现 一 个 缺 陷 。 4 . 2 、 各 公 司 产 品 安 全 性 对 比 、 各 公 司 产 品 安 全 性 对 比 本 部 分 对 不 同 互 联 网 公 司 的 产 品 安 全 性 概 况 进 行 对 比 ， 图 3 展 示 了 每 个 公 司 在 本 次 测 试 中 检 测 出 的 高 危 、 中 危 缺 陷 总 数 ， 以 及 以 公 司 为 单 位 统 计 的 每 千 行 缺 陷 数 。 图 3   互 联 网 公 司 产 品 安 全 性 对 比 图 由 于 每 个 公 司 的 项 目 被 检 测 出 缺 陷 的 绝 对 数 量 与 项 目 数 量 、 项 目 大 小 相 关 ， 不 能 直 接 反 映 公 司 的 产 品 安 全 性 ， 因 此 本 部 分 重 点 关 注 每 千 行 缺
陷 数 。 根 据 该 数 据 ， 本 期 报 告 抽 取 的 5 家 I O T 和 互 联 网 公 司 的 开 源 项 目 均 有 较 好 的 软 件 质 量 控 制 ， 每 千 行 代 码 缺 陷 数 在 0 . 1 8 至 0 . 5 3 之 间 ， 属 于 合 理 范 围 内 。 4 . 3 、 各 公 司 高 危 缺 陷 分 布 情 况 、 各 公 司 高 危 缺 陷 分 布 情 况 本 部 分 展 示 各 公 司 高 危 缺 陷 的 分 布 情 况 ， 了 解 各 公 司 出 现 较 多 的 高 危 缺 陷 类 型 。 图 4 展 示 了 各 公 司 的 高 危 缺 陷 类 型 和 分 布 情 况 ， 为 了 方 便 展 示 ， 统 一 将 每 个 公 司 项 目 中 出 现 5 次 以 下 的 高 危 缺 陷 类 型 归 入 “ 其 他 ” 。 可 以 看 到 ， 各 公 司 的 高 危 缺 陷 分 布 情 况 不 尽 相 同 。 相 对 出 现 较 为 普 遍 的 缺 陷 类 型 为 “ 资 源 未 释 放 ” 、 “ 空 指 针 解 引 用 ” 、 “ 不 安 全 的 随 机 性 ” 。 图 4   各 公 司 高 危 缺 陷 分 布 情 况 4 . 4 、 各 公 司 中 危 缺 陷 分 布 情 况 、 各 公 司 中 危 缺 陷 分 布 情 况 本 部 分 继 续 展 示 各 公 司 中 危 缺 陷 的 分 布 情 况 ， 了 解 各 公 司 出 现 较 多 的 中 危 缺 陷 类 型 。 如 图 5 所 示 ， 各 公 司 的 中 危 缺 陷 分 布 情 况 不 尽 相 同 。 为 了 方 便 展 示 ， 统 一 将 每 个 公 司 项 目 中 出 现 5 次 以 下 的 中 危 缺 陷 类 型 归 入 “ 其 他 ” 。
图 5   各 公 司 中 危 缺 陷 分 布 情 况 其 中 ， 相 对 出 现 较 普 遍 的 缺 陷 类 型 为 “ 资 源 未 释 放 ” 、 “ 内 存 泄 露 ” 。 这 两 类 问 题 类 似 ， 都 会 导 致 系 统 资 源 的 持 续 消 耗 ， 进 而 引 发 性 能 下 降 、 甚 至 系 统 崩 溃 的 问 题 。 而 内 存 泄 露 特 指 那 些 由 于 操 作 不 当 导 致 内 存 无 法 被 回 收 的 情 况 ， 例 如 声 明 了 非 静 态 的 内 部 类 等 。 4 . 5 、 国 内 外 互 联 网 公 司 产 品 安 全 性 对 比 、 国 内 外 互 联 网 公 司 产 品 安 全 性 对 比 在 最 近 三 期 的 开 源 软 件 安 全 缺 陷 分 析 报 告 中 ， 选 取 了 国 内 外 知 名 互 联 网 公 司 旗 下 的 几 十 款 开 源 软 件 项 目 进 行 了 安 全 性 评 估 。 结 合 上 两 期 报 告 的 评 估 结 果 ， 本 部 分 将 国 内 外 互 联 网 公 司 的 产 品 安 全 缺 陷 和 其 软 件 自 身 的 安 全 性 进 行 了 对 比 。 对 比 参 考 数 据 是 软 件 安 全 密 度 。 图 6 展 示 了 软 件 安 全 缺 陷 和 软 件 安 全 密 度 之 间 的 对 比 关 系 。 可 以 明 显 看 到 ， 软 件 自 身 的 安 全 性 和 软 件 代 码 中 存 在 的 安 全 缺 陷 数 量 有 明 显 的 正 相 关 性 。 安 全 缺 陷 越 多 的 软 件 ， 软 件 自 身 的 安 全 性 和 健 壮 性 越 差 。 图 6   国 内 外 互 联 网 公 司 产 品 安 全 缺 陷 密 度 对 比 “ 关 于 本 报 告 的 说 明 ” 一 、 本 报 告 仅 从 代 码 角 度 进 行 缺 陷 分 析 。 本 报 告 中 统 计 的 缺 陷 是 指 由 于 代 码 编 写 不 规 范 导 致 的 有 可 能 被 攻 击 者 利 用 的 安 全 隐 患 。 在 实 际 系 统 中 ， 由 于 软 件 实 际 部 署 环 境 、 安 全 设 备 等 的 限 制 ， 部 分 缺 陷 可 能 无 法 通 过 渗 透 测 试 得 到 验 证 。 二 、 本 报 告 中 的 缺 陷 仅 适 用 于 表 1 中 列 出 的 特 定 软 件 版 本 。 当 软 件 版 本 有 任 何 更 新 、 修 改 和 优 化 时 ， 本 报 告 不 再 适 用 。 三 、 本 报 告 由 3 6 0 代 码 卫 士 团 队 提 供 部 分 技 术 支 持 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理