个人发卡系统源代码审计报告.pdfVIP

个人发卡系统源代码审计报告

个人发卡系统源代码审计报告1

1.概述1

1.1.什么是源代代码审计1

2.本次源代码审计分为三个阶段：2

3.审计对象2

3.1.应用列表3

3.2.参与人员3

3.3.审计工具3

4.现状分析3

5.审计结果4

5.1.文件包含漏洞4

5.2.SQL注入5

5.3.文件上传漏洞7

5.4.越权访问9

5.5.功能失效10

1.概述

1.1.什么是源代代码审计

代码审计指的是检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有

编码不规范的地方，通过自动化工具或者人工审查的方式，对程序源代码逐条进行检查和分

析。

代码审计是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析，能够

找到普通安全测试所无法发现的安全漏洞。

审计的好处

99%的大型网站以及系统都被拖过库，泄漏了大量用户数据或系统暂时瘫痪，提前做好

代码审计工作，非常大的好处就是将先于黑客发现系统的安全隐患，提前部署好安全防御措

施，保证系统的每个环节在未知环境下都能经得起黑客挑战，进一步巩固客户对企业及平台

的信赖。

审计的目的

本次源代码审计工作是通过对当前系统各模块的源代码进行审查，以检查代码在程序编

写上可能引起的安全性和脆弱性问题。

1

审计依据

本次源代码审计工作主要突出代码编写的缺陷和脆弱性，以OWASPTOP10为检查依据，针

对OWASP统计的问题作重点检查。

审计范围

根据XX给出的代码，对其WEB应用作脆弱性和缺陷、以及结构上的检查。通过了解业务系

统，确定重点检查模块以及重要文件，提供可行性的解决方法。

审计方法

通过白盒（代码审计）的方式检查应用系统的安全性，白盒测试所采用的方法是工具审查+

人工确认+人工抽取代码检查，依照OWASP2013TOP10所披露的脆弱性，根据业务流来检

查目标系统的脆弱性、缺陷以及结构上的问题。

2.本次源代码审计分为三个阶段：

信息收集

此阶段中，源代码审计人员熟悉待审计WEB应用的结构设计、功能模块，并与客户相

关人员商议、协调审计重点及源代码提供等方面的信息。

代码安全性分析

此阶段中，源代码审计人员会使用工具对源代码的脆弱性和安全缺陷进行初步的分析，

然后根据客户关注的重点对部分代码进行手工审计，主要包含以下内容：

输入/输出验证。SQL注入、跨站脚本、拒绝服务攻击，对上传文件的控制等因为未能

较好的控制用户提交的内容造成的问题；

安全功能。请求的参数没有限制范围导致信息泄露，Cookie超时机制和有效域控制，权

限控制、日志审计等方面的内容；程序异常处理。忽略处理的异常、异常处理不恰当造

成的信息泄露或是不便于进行错误定位等问题；

3.审计对象

在XX及WEB应用开发单位XX公司相关人员的协调与配合下，**公司安全测试小组于

XXXX年XX月XX日至XX日对XX应用进行了源代码审计工作。在此期间内，暗月网络科技

公司安全测试小组利用各种主流的代码审计工具以及手工检查等方式对网站主要功能模块

的源代码进行了安全性及规范性检查，发现了源代码中存在的一些脆弱性、合规性问题及缺

陷。

2

3.1.应用列表

本地代码审计的对象包括

基本信息

应用系统名称个人发个平台

语言类型PHP

3.2.参与人员

参与人员工作职责联系方式

暗月代码审计安全研究员136394000909

3.3.审计工具

工具一

工具名称Seay代码审计工具

相关信息源代码审计系统一款基于白盒测试的代码审计工具,具有自动代码

审计功能,简化了人工审计的繁琐流程,使代码审计更加智能简洁。

工具二

工具名称