软件培训网

欢迎访问软件培训网!招生咨询电话与微信:15225191462(周老师)
软件培训网,专业解决学IT疑难杂症!

首页 > 网络技术/ 正文

应用安全工作的那些事儿

2013-08-23 16:45:21 Java培训

1. 应用安全工作决不可能都是由应用安全工作者完成的,不是全员参与的应用安全工作决不可能做出安全性很好的产品。rQJ软件IT培训网-河南郑州IT培训

2. 公司期望所有与应用安全有关的工作均有应用安全工作者来完成,那一定是战略上的轻视、战术上的错误,最终必将以重大安全事故的出现而结束这场战争。rQJ软件IT培训网-河南郑州IT培训

3. 企业应用安全工作者理应是:安全风险的识别者、解决方案策划者与设计者及企业工程师安全意识的培训者,必需得到最高层的直接重视方可得以很好的实施。安全的具体实施理应由普通的工程师完成,规范化渗透测试工作理应由普通的测试工程师来完成。导弹是高科技产品,它的零部件依然是普通的工人来完成的,不要认为应用安全很高深,普通工程师做不了,那是应用安全实现“工艺设计”人员的工作没做好!rQJ软件IT培训网-河南郑州IT培训

【故事一】:XSS的困惑rQJ软件IT培训网-河南郑州IT培训

在公司的早期,当我演示XSS的问题给我们的开发者与测试人员的时候,他们最最困惑的一个问题是:rQJ软件IT培训网-河南郑州IT培训

|谁没事把自己的页面注入一串javascript的然后在自己的浏览器当中执行?这是漏洞吗?rQJ软件IT培训网-河南郑州IT培训

这个问题看起来似乎很傻,其实不然,这里蕴涵着一个非常重要的问题:谁是攻击者、谁是受害者以及谁是责任者的问题,你想过这些问题吗?若想让你的公司的员工明白XSS问题的严重性必需让他们从根本上理解问题,方可以得以从心底里接受。于是我就做了一个虚拟的场景:rQJ软件IT培训网-河南郑州IT培训

假如我是黑客,我发现某公司网站上可以注入JS脚本,于是我就巧妙的构造攻击URL,通过社会工程学的方式诱使对方点击我的URL,当对方处于登录状态时,我可以获取对方的会话信息、本地cookie信息等等,我可以做的事你可以想象了…,在这里我是攻击者,我们的产品用户是受害者,我们公司是责任者,你说我们要不要处理这个问题?rQJ软件IT培训网-河南郑州IT培训

【故事二】:关于CSRF的那些事rQJ软件IT培训网-河南郑州IT培训

先问问读者:CSRF是漏洞吗?rQJ软件IT培训网-河南郑州IT培训

在我要求开发人员解决CSRF(CSRF概念可查询CSRF)问题的时候,我曾经被一个资深开发人员问的目瞪口呆,开发人员的问题是:rQJ软件IT培训网-河南郑州IT培训

一个需要做身份验证的URL,我们在实现的时候已经做了严格的身份验证,现在你的要求等于是让我我们再做一次身份验证,这不是折腾吗?换句话问用户访问了一个只有登录成功才可以访问的URL,当用户登录后可以正常访问,为什么你还说它需要做身份验证?rQJ软件IT培训网-河南郑州IT培训

开发人员的问题是有效的,且我认为是有价值的,如果你不能给开发人员解决这个问题,他们是不能从心底里形成类似问题的防御意识,相反他们会形成一种内心的抵抗,最终的效果将是可想而知的。于是我又做了一个场景的虚拟:rQJ软件IT培训网-河南郑州IT培训

假如我是黑客,你是用户,我是黑客,当然我同时也是一个用户,没有迹象表明我是一个黑客,对于别的用户来说,我就是一个普通的用户而已。OK,你登录了我们的产品,我也登录了我们的产品,现在我找到了changePasswd.do的API,我发现它并没有做CSRF防范,但是这个URL是做了严格的身份认证检查的,现在我用changePasswd.do?newPWD=XXXX来构造一个URL,发给你,为了有隐秘性,我可以使用短链接的方式发给你,你一眼也看不出来它里面包含了什么,当你点击之后,它会怎么样? 开发说:可以正常运行! 我问:为什么不需要登录、为什么没要求身份验证? 开发说:我已经登录了!我说:这就是CSRF了,你觉得它严重吗?rQJ软件IT培训网-河南郑州IT培训

此例子当中攻击者是我,受害者是那个开发人员,责任者依然是我们产品—服务的提供者。rQJ软件IT培训网-河南郑州IT培训

【故事三】:身份认证与授权难解之惑rQJ软件IT培训网-河南郑州IT培训

我们要求开发描述清楚你写的URL或者API的身份认证的要求,比如:myInfo.do,rQJ软件IT培训网-河南郑州IT培训

开发人员:只有登录的用户才可以访问myInfo.do,否则会转到登录页面要求用户登录。rQJ软件IT培训网-河南郑州IT培训

我说:这样写是不对的,你这样写表明只要登录的用户都可以访问myInfo.do了.rQJ软件IT培训网-河南郑州IT培训

开发人员:没错啊,登录的用户就可以访问myInfo.do,这有什么问题?rQJ软件IT培训网-河南郑州IT培训

我说:如果我登录了,但是我访问的是你的myInfo.do会怎么样?rQJ软件IT培训网-河南郑州IT培训

开发人员:(…沉思了一会…),这种情况是可能存在的,但是这是比较偏的情况rQJ软件IT培训网-河南郑州IT培训

我说:我们做安全需要考虑的就是可能存在的安全风险,正确的描述访问是:只有登录的用户才可以访问他自己的myInfo.do!读者可能会问:咬文嚼字吗? 我想说的是:这样的咬文嚼字必需有,否则后果很严重。rQJ软件IT培训网-河南郑州IT培训

本文由软件培训网整理,转载请注明:http://www.softpeixun.comrQJ软件IT培训网-河南郑州IT培训


Tags:郑州大数据培训机构哪家好,郑州学习电脑软件有哪些学校,郑州哪里有中专的计算机培训学校,郑州软件开发编程培训学校哪家好,郑州高中生软件培训班哪家好,北大青鸟郑州校区在哪里

搜索
软件培训学校哪家好,就来软件培训网咨询
软件培训学校哪家好,就来软件培训网咨询
热门标签
软件培训学校哪家好,就来软件培训网咨询
软件培训学校哪家好,就来软件培训网咨询
软件培训学校哪家好,就来软件培训网咨询
  • QQ交谈