信息安全技术安全编程.pptVIP

信息安全技术安全编程 中国信息安全产品测评认证中心（CNITSEC） 版本：CISP-2-安全编程（培训样稿） 前言 课程目的： 了解如何安全编程 帮助用户在实际编程中应用上述技术 为什么要安全编程 黑客可利用软件中的安全问题进行攻击，造成经济或者名誉损失 可能造成产品性能不稳定 软件的安全性不好影响客户信心，销售受挫 存在诸多安全问题的原因 现代软件开发周期短，工作量大，无暇顾及安全 软件开发人员缺乏安全编程经验 课程内容 通用安全编程原则 常见Web编程语言的安全编程 C、Asp、Perl、php、Jsp 其他应用程序的安全编程 缓冲区溢出 函数返回值检查 临时文件安全 竞争条件 软件开发过程中的一些安全考虑 通用安全编程原则 什么是一个安全的程序？ 简单的说，无论使用何种破坏手段，都可以正确执行自己的既定任务，这样的程序就是安全的程序。 安全程序不应当损害它运行系统的本地安全策略。 程序员职责就是保证程序可以正常执行任务。 锁匠与锁， 屋主与关门 Solaris ‘login’的安全问题 什么是安全漏洞？ 程序中存在的危害本地安全策略的问题或弱点 大多数是指那些会导致程序强制执行一些不同于作者本来意图的行为 常见安全漏洞类型 缓冲区溢出 竞争条件 输入检查错误 访问控制错误 设计错误 通用安全编程原则 程序只实现你指定的功能 永远不要信任用户输入，对用户输入数