Web应用安全通用评估准则.docVIP

Web应用安全通用评估准则 1、鉴别（Authentication） 最佳实践 鉴别机制应防止无凭证用户的非法访问应用程序功能，通过禁止恶意口令猜测尝试来防止暴力破解 常见问题 登入过程绕过；自动登录脚本；身份变化；…… 2、授权（Authorization） 最佳实践 授权机制应防止用户访问其他用户的数据或防止非授权使用应用程序功能 常见问题 隐藏的或可猜测的特权功能；A用户可读/修改B用户的数据；GET/POST参数模糊…… 3、用户输入验证（User’s Input Sanitization） 最佳实践 所有的 用户输入数据应该进行检查和验证。边界检查可用于防止缓冲区欲出/变量赋值违规。语法检查应强制实施以防止数据编码，数据注入，格式化字符串攻击，同时拒绝输入禁止的字符等。利用用户可控输入所产生的输出数据必须经过适当的格式化以避免通用应用进行客户端脚本注入。 常见问题 半数溢出；JavaScript注入，SQL注入；跨站脚本；服务器端文件包含…… 4、错误输出和信息泄漏（Error Handling and Information leakage） 最佳实践 应用程序应限制可提供详细系统信息或业务逻帮助等信息的错误消息，以内这些消息可帮助攻击者危及系统； 常见问题 SQL冗余错误消息，并存在后台数据库结构信息的泄露；提示性的错误消息，详细给出文件系统路径信息；当帐户或口令出错的登录进程通知信息；服务器旗帜标及发布版本泄露，….. 5、口令/PIN码的复杂性（Password/PIN Complexity） 最佳实践 用户认证的长度和复杂性要求进行强制以防止口令和PINs的暴力破解 常见问题 4个数字的口令，常见帐号（如demo/demo或admin/admin）；缺省安装口令，…… 6、用户数据保密性（User’s data confidentiality） 最佳实践 应用程序应用在整个数据流的生命周期中维护用户数据的隐私和机密性。应用程序应确保敏感数据（如口令，PIN吗或MSISDN）不被存储在Web服务器或者逆向代理日志文件中，或以非加密形式驻留于cookies或浏览器的缓存数据中。应正确地实现授权以保证应用程序用户不能查看到其他用户的敏感信息。 常见问题 信用卡号和CCV2码被存储，而口令一明文形式出现在日志文件中；系统管理员可以读取其他用户的口令；日志文件可被非授权人员访问 7、会话机制（Session mechanism 最佳实践 会话管理应依赖于强壮的机制和会话标识。会话标识，如cookie或会话ID，应难以预测 常见问题 被偷窃的会话cookie可以在其他IP地址的计算机上再次使用，通过模糊参数恶意地实现身份交换。 8、补丁管理（Patch management） 最佳实践 所有暴露的和启用Web应用组件（如Web应用框架，反向代理，模块，……）必须更新到最新最稳定的版本，特别要关注最新的紧急安全补丁和出现漏洞攻击工具的补丁。 常见问题 未安装可被利用的脆弱性的补丁，而攻击程序已存在。 9、管理员接口（Administration interfaces 最佳实践 管理功能应从应用程序的其他部分隔离出来。只有授权的用户被允许使用应用程序的管理功能。 常见问题 常见管理URLs；管理功能可以从主应用进行调用，…… 10、通信安全（Communication security） 最佳实践 敏感信息的通信传输应进行加密以防止为授权的搭线窃听，从而保证数据的完整性。 常见问题 口令仅使用Base64编码就进行传输；在传输logon/password或其他机密信息时，未使用HTTPS协议，…… 11、第三方服务暴露 最佳实践 任何缺省安装部署的第三方依赖或其他服务应严格审计，以确保它们不会危及其所支持的产品或应用的安全。应有网络级的访问控制过滤以限制对第三方服务资源的访问，或对未知客户端应有相应的规则来不允许其连接。 常见问题 数据库侦听器可以从网络访问；不必要的服务如Finger或RPC暴露给客户端