搜索

[29493] 2017-10-13_防微杜渐使用不安全的代码示例导致安全问题

文档创建者：s7ckTeam
浏览次数：122
最后更新：2025-01-19
2017-10-13_防微杜渐使用不安全的代码示例导致安全问题 1 2 3 防 微 杜 渐   |   使 用 不 安 全 的 代 码 示 例 导 致 安 全 问 题 O W A S P   2 0 1 7 - 1 0 - 1 3 1 个 事 实 个 事 实 软 件 世 界 中 ， 存 在 这 样 一 个 “ 悲 哀 ” 的 事 实 ： 导 师 在 给 开 发 人 员 做 教 育 培 训 时 ， 不 仅 让 他 们 忽 略 了 软 件 安 全 性 ， 而 且 还 经 常 误 导 开 发 人 员 使 用 错 误 的 安 全 实 践 方 法 。 举 个 例 子 ， 学 习 新 的 实 践 方 法 时 ， 开 发 人 员 所 采 用 的 都 是 源 自 教 程 和 论 坛 中 的 “ 赶 鸭 子 上 架 ” 的 不 安 全 代 码 示 例 , 即 某 些 教 程 中 会 存 在 一 些 不 安 全 的 代 码 示 例 ， 比 如 说 ： S Q L 注 入 和 跨 站 脚 本 （ X S S ） 漏 洞 。 错 误 的 教 程 导 致 大 规 模 的 漏 洞 错 误 的 教 程 导 致 大 规 模 的 漏 洞 2 0 1 7 年 4 月 ， T o m m i U n r u h 、 B h a r g a v a   S h a s t r y 、 M a l t e   S k o r u p p a 等 研 究 人 员 共 同 发 表 了 “ 大 规 模 W e b 种 子 漏 洞 利 用 教 程 ” 。 他 们 使 用 流 行 网 络 教 程 的 已 知 不 安 全 代 码 示 例 ， 来 查 找 G i t H u b 实 际 软 件 项 目 中 的 类 似 漏 洞 。 此 外 ， 研 究 人 员 几 乎 把 不 为 人 知 的 、 几 乎 不 怎 么 使 用 的 项 目 ， 以 及 知 名 的 、 广 泛 使 用 的 项 目 都 查 了 个 编 。 基 于 这 些 研 究 结 果 ， 他 们 创 建 了 一 种 可 以 在 项 目 中 查 找 教 程 派 生 代 码 的 方 法 。 接 下 来 ， 他 们 对 相 关 代 码 进 行 了 手 动 验 证 ， 发 现 这 些 代 码 与 不 安 全 教 程 中 的 代 码 基 本 相 同 。 在 G i t H u b 上 的 6 4 , 4 1 5 个 代 码 库 中 ， 他 们 的 检 索 程 序 发 现 了 8 2 0 个 代 码 和 他 们 正 在 寻 找 的 教 程 代 码 非 常 相 似 。 通 过 手 动 验 证 ， 确 认 该 1 1 7 个 代 码 基 本 相 同 ， 并 且 含 有 与 教 程 代 码 示 例 相 同 的 漏 洞 。 他 们 还 从 过 时 的 软 件 以 及 当 前 流 行 的 软 件 当 中 ， 找 到 了 问 题 所 在 。 虽 然 这 些 数 量 看 似 很 小 ， 但 是 ， 正 是 由 于 这 些 “ 糟 糕 ” 的 教 程 代 码 示 例 ， 可 能 直 接 导 致 了 开 源 项 目 的 真 实 漏 洞 问 题 。 由 此 可 见 ， 开 发 人 员 经 常 被 教 导 学 习 错 误 的 方 法 , 而 这 些 错 误 的 方 法 也 经 常 没 有 变 化 的 出 现 在 产 品 代 码 中 。 可 以 说 ， 许 多 开 发 人 员 一 路 都 是 沿 着 这 些 错 误 的 方 法 ， 一 直 到 项 目 发 布 之 前 ， 都 没 有 去 纠 正 错 误 。 解 决 解 决 “ 突 兀 的 突 兀 的 ” 问 题 问 题 现 实 世 界 里 ， 开 发 人 员 不 会 去 学 习 不 安 全 的 实 践 方 法 或 开 发 不 安 全 的 示 例 代 码 。 但 是 ， 这 依 然 是 一 个 大 难 题 。 尽 管 我 们 看 到 了 改 进 的 地 方 ， 但 正 如 研 究 显 示 ， 我 们 还 有 很 长 的 一 段 路 要 走 。 如 果 你 需 要 开 发 示 例 代 码 来 教 授 开 发 者 课 程 ， 请 确 认 你 的 代 码 是 安 全 的 。 然 后 ， 确 保 每 个 人 都 遵 循 这 样 的 做 法 。 一 个 不 安 全 的 代 码 解 决 方 案 ， 很 大 程 度 上 会 影 响 开 发 者 团 队 的 工 作 。 作 为 单 独 开 发 人 员 ， 请 记 住 ， 教 程 中 的 示 例 代 码 几 乎 都 是 不 完 整 的 。 为 了 快 速 获 得 课 程 学 习 效 果 ， 这 些 示 例 代 码 通 常 都 是 经 过 简 化 的 , 以 便 开 发 人 员 很 容 易 掌 握 该 课 程 。 但 是 ， 开 发 人 员 总 是 忽 略 了 输 入 验 证 和 错 误 检 查 等 必 要 步 骤 ， 他 们 只 是 “ 依 葫 芦 画 瓢 ” 来 添 加 示 例 。 ① 制 定 安 全 编 码 实 施 计 划 ① 制 定 安 全 编 码 实 施 计 划 首 先 ， 确 保 开 发 团 队 在 不 良 代 码 投 入 生 产 方 面 发 挥 着 重 要 作 用 。 其 次 ， 进 行 同 行 代 码 审 查 ， 以 识 别 和 纠 正 开 发 过 程 中 发 生 的 任 何 错 误 。 再 次 ， 摒 弃 “ 人 云 亦 云 ” 的 想 法 。 最 后 ， 检 录 代 码 之 前 ， 建 议 先 关 注 同 行 代 码 ， 以 帮 助 开 发 人 员 识 别 错 误 。 ② 指 定 一 名 安 全 领 导 者 ② 指 定 一 名 安 全 领 导 者 最 好 的 做 法 就 是 让 众 多 具 有 安 全 意 识 的 开 发 人 员 参 与 到 这 个 建 设 过 程 。 现 在 ， 许 多 公 司 都 设 置 了 一 个 安 全 人 员 的 角 色 ， 该 角 色 主 要 是 负 责 担 任 软 件 安 全 组 织 的 安 全 领 导 者 。 他 们 和 开 发 团 队 人 员 在 一 起 工 作 ， 并 为 他 们 提 供 安 全 指 导 。 倘 若 能 采 纳 安 全 专 家 的 审 核 建 议 ， 将 大 大 有 助 于 减 少 使 用 不 安 全 的 示 例 代 码 问 题 。 使 用 安 全 工 具 使 用 安 全 工 具
可 利 用 静 态 分 析 工 具 来 解 决 代 码 生 成 前 的 问 题 ， 和 动 态 分 析 工 具 来 解 决 代 码 生 成 后 的 安 全 问 题 。 无 论 是 使 用 商 业 还 是 免 费 工 具 ， 都 可 以 确 定 开 发 过 程 中 的 常 见 安 全 漏 洞 。 小 总 结 小 总 结 关 注 学 习 新 技 能 并 善 于 提 出 问 题 ， 多 关 注 课 程 学 习 的 质 量 与 效 果 确 保 所 有 开 发 人 员 都 能 够 弄 清 楚 代 码 示 例 ， 以 及 确 定 代 码 示 例 是 否 符 合 标 准 通 过 建 立 良 好 的 流 程 来 支 持 开 发 人 员 的 工 作 ， 从 失 误 中 汲 取 教 训 加 强 软 件 人 员 的 安 全 意 识 有 哪 些 安 全 工 具 呢 ？ 欢 迎 各 位 O W A S P   中 国 小 伙 伴 积 极 留 言 推 荐 实 用 的 小 工 具
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理