代码审计报告#40;共9页#41;.docxVIP

精选优质文档-----倾情为你奉上

源代码审计报告

专心---专注---专业

精选优质文档-----倾情为你奉上

目录

专心---专注---专业

精选优质文档-----倾情为你奉上

一.概述

1.1源代码审计概述

源代码审计工作通过分析当前应用系统的源代码，熟悉业务系统，从应用系统结构方面检查其各模块和功能之间的关联、权限验证等内容；从安全性方面检查其脆弱性和缺陷。在

明确当前安全现状和需求的情况下，对下一步的编码安全规范性建设有重大的意义。

源代码审计工作利用一定的编程规范和标准，针对应用程序源代码，从结构、脆弱性以

及缺陷等方面进行审查，以发现当前应用程序中存在的安全缺陷以及代码的规范性缺陷。

审核目的

本次源代码审计工作是通过对当前系统各模块的源代码进行审查，以检查代码在程序编

写上可能引起的安全性和脆弱性问题。

审核依据

本次源代码审计工作主要突出代码编写的缺陷和脆弱性，以OWASPTOP102010为检

查依据，针对OWASP统计的问题作重点检查。

←点击打开文档OWASPTOP102010

审计范围

根据XX给出的代码，对其WEB应用作脆弱性和缺陷、以及结构上的检查。通过了解业

务系统，确定重点检查模块以及重要文件，提供可行性的解决方法。

审计方法

通过白盒(代码审计)的方式检查应用系统的安全性，白盒测试所采用的方法是工具审查+人工确认+人工抽取代码检查，依照OWASP2010TOP10所披露的脆弱性，根据业务流

来检查目标系统的脆弱性、缺陷以及结构上的问题。

本次源代码审计分为三个阶段：

信息收集

此阶段中，源代码审计人员熟悉待审计WEB应用的结构设计、功能模块，并与客户相关

人员商议、协调审计重点及源代码提供等方面的信息。

专心--专注---专业

精选优质文档-----倾情为你奉上

代码安全性分析

此阶段中，源代码审计人员会使用工具对源代码的脆弱性和安全缺陷进行初步的分析，

然后根据客户关注的重点对部分代码进行手工审计，主要包含以下内容：

输入/输出验证。SQL注入、跨站脚本、拒绝服务攻击，对上传文件的控制等因

为未能较好的控制用户提交的内容造成的问题；

》安全功能。请求的参数没有限制范围导致信息泄露，Cookie超时机制和有效域

控制，权限控制、日志审计等方面的内容；

》程序异常处理。忽略处理的异常、异常处理不恰当造成的信息泄露或是不便于进

行错误定位等问题；

代码规范性检查

此阶段中，源代码审计人员主要是利用一些代码规范检查工具对网站各功能模块的代码

进行合规性检查，主要目的在于提高代码质量，使其更符合编码规范的要求，主要包括以下

内容：

》代码质量。例如对象错误或不适合调用导致程序未能按预期的方式执行，功能缺

失；类成员与其封装类同名，变量赋值后不使用等；

》封装。多余的注释信息、调试信息问题导致应用系统信息暴露，错误的变量声明

等。

API滥用。例如调用非本单位直接控制的资源、对象过于频繁调用、直接调用空

对象导致系统资源消耗过大或是程序执行效率低下等问题。

1.2项目概述

在XX及WEB应用开发单位XX公司相关人员的协调与配合下，**公司安全测试小组于

XXXX年XX月XX日至XX日对XX应用进行了源代码审计工作。在此期间内，**公司安全

测试小组利用各种主流的代码审计工具以及手工检查等方式对网站主要功能模块的源代码进

行了安全性及规范性检查，发现了源代码中存在的一些脆弱性、合规性问题及缺陷。

本文档即为**公司安全测试小组在进行代码审计工作完成后所提交的报告资料，用于对

XXWEB应用的安全状况从代码层面作出分析和建议。

**公司代码审计服务是经过授权的，也是有时间限制的。

专心---专注---专业

精选优质文档-----倾情为你奉上

二.审核对象

2.1应用列表

本次代码审核的对象包括：

基本信息

应用系统名称

XXWEB应用

语言类型

□ASP

□ASP.NET(VB)

□ASP.NET(C#)

□PHP

□JSP(JAVA)

□其它

2.2参与人员

参与人员

工作职责

联系方式

XXX

XXX

XXX

2.3审计工具

工具一

工具名称

XXXX

工具用途

相关信息

工具二

工具名称

XXXX

专心---专注---专业

精选优质文档-----倾情为你奉上

工具用途

相关信息

三.现状分析

XX门户网站是由XX公司开发的基于XXX语言的网站，主要功能有产品及解决方案、合作伙伴、客户支持、工作机会、