应用软件开发源代码安全指南.docVIP

下载本文档

1
0
约1.64万字
约 20页
2024-02-26 发布于广西
举报
版权申诉

应用软件开发源代码安全指南.doc

1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
7、VIP文档为合作方或网友上传，每下载1次，网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档

编号：版号：0.9中国信达资产管理公司CHINA

编号：

版号：0.9

中国信达资产管理公司

CHINACINDAASSETMANAGEMENTCORPORATION

应用软件开发源代码平安指南

版本0.9

中国信达资产管理公司

中国信达资产管理公司,2007

本文件中包含的任何文字表达、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属中国信达资产管理公司所有。未经许可任何人不得将此文件中的任何局部以任何形式进行复制，储存和传播。

文档发布声明

“应用软件开发源代码平安指南〞是中国信达资产管理公司ISO20000/27001体系文件的一局部。本文件自公布之日起在公司内部有效。本文档的使用和管理详见《质量管理体系文件管理规程》。

版本记录

版本号

版本日期

编写人

审核人

审批人:

说明

TOC\o1-4\h\z\u1目标1

2范围1

3指南1

3.1应用开发弱点的原始清单1

3.2跨站脚本攻击(CrossSiteScripting-XSS)2

描述2

控制措施3

3.3注入缺陷4

描述4

SQL注入攻击4

控制措施5

3.4恶意文件执行7

描述7

控制措施8

3.5直接对象引用9

描述9

控制措施10

3.6跨站请求伪造〔CSRF〕10

描述10

CSRF攻击12

控制措施12

3.7错误处理不当12

描述12

控制措施13

3.8失效的账户和线程管理类的威胁14

描述14

控制措施15

密码存储15

保护传输凭证15

保护线程IDs15

保护帐号列表16

管理程序组件的信任关系16

3.9加密存储不平安16

描述16

确认存在加密存储不平安脆弱性17

控制措施17

3.10通信不平安17

描述17

控制措施18

3.11无法限制URL访问18

描述18

控制措施18

目标

本指南用于指导信达应用开发组在软件开发过程中，如何标准开发标准，防止常见平安漏洞，使应用系统更为健壮和平安。

范围

适用于信达应用开发组的软件开发活动。

指南

本指南引用了OWASP(OpeningWebApplicationSecurityProject)2007年Top10应用开发弱点清单，并列出相应的控制措施。

应用开发弱点的原始清单

应用系统弱点

描述

A1-CrossSiteScripting(XSS)

XSSflawsoccurwheneveranapplicationtakesusersupplieddataandsendsittoawebbrowserwithoutfirstvalidatingorencodingthatcontent.XSSallowsattackerstoexecutescriptinthevictimsbrowserwhichcanhijackusersessions,defacewebsites,possiblyintroduceworms,etc.

A2-InjectionFlaws

Injectionflaws,particularlySQLinjection,arecommoninwebapplications.Injectionoccurswhenuser-supplieddataissenttoaninterpreteraspartofacommandorquery.Theattacker?shostiledatatrickstheinterpreterintoexecutingunintendedcommandsorchangingdata.

A3-MaliciousFileExecutionCode

Codevulnerabletoremotefileinclusion(RFI)allowsattackerstoincludehostilecodeanddata,resultingindevastatingattacks,suchastotalservercompromise.MaliciousfileexecutionattacksaffectPHP,XMLandanyframeworkwhichacceptsfilenamesorfil