工信部标准-web应用系统检查表.xlsVIP

安全编码

安全审计

敏感数据保护

权限管理

会话管理

身份验证

编号

要求内容

操作指南

检测方式

判断条件

补充说明

webAP一通用一身份验证一01

管理页面采取强口令策略。系统登录验证口令应具备一定的复杂度

1.在口令相关配置中配置口令复杂度，限制口令的最短长度

1.要求相关技术人员提供密码复杂度配置文件或者相应口令管理页面，查看口令复杂度配置;2.开启创建账号功能;3.采用简单的口令，进行账号注册，检查系统是否拒绝此类注册请求;4.使用符合系统规定的复杂的口令，进行账号注册，观察系统是否通过此类注册请求;5.使用成功注册的测试账号登录系统，进行口令修改操作，新的鉴别信息采用口令，验证系统是否拒绝此类口令修改操作;6.使用成功注册的测试账号登录系统，进行身份鉴别信息修改操作，新的口令采用符合系统规定，验证系统是否通过此类口令修改操作

1.系统对口令复杂度进行了配置;2.系统拒绝了使用简单鉴别信息进行注册的用户操作;3.系统通过了使用符合规定的口令进行的用户注册操作;4.系统拒绝了使用简单口令的修改操作;5.系统通过了使用符合规定的口令的修改操作

webAP一通用一身份验证一02

对用户的最终认证处理过程应放到应用服务器进行。不允许仅仅通过客户端脚本或其他形式在客户端进行验证，应在应用服务器进行认证处理(如果采用集中认证，那么对用户的认证就是放在集中认证服务器进行)

在相关配置中配置认证处理方式

1.访谈相关技术人员，确认对用户的认证处理过程是否放到应用服务器进行;2.触发身份认证流程，通过抓包的形式，验证是否在应用服务器端实现对用户的认证处理过程

1.相关技术人员确认实际系统中对用户的认证处理过程放到应用服务器进行;2.实际系统在应用服务器端实现对用户的认证处理

webAP一通用一身份验证一03

网页上的登录/认证表单应加入强身份认证机制，如验证码、动态口令等。使用强身份认证的目的是为了阻止攻击者使用自动登录工具连续尝试登录，从而降低被暴力破解的可能

在相关配置中增加验证码、动态口令等强身份认证机制

1.登陆系统，输入用户名密码;2.验证系统是否要求输入验证码或动态口令等

登陆操作时，启用了验证码或动态口令卡等认证方式

webAP一通用一身份验证一04

对于web应用系统自身的管理员账号的敏感账号，如root.system等，应修改为其他名称或者禁用

在配置文件中删除敏感账号，如root,system等

1.检查相关配置文件或者数据库，是否存在敏感账号;2.开启账号登陆功能;3.输入敏感账号，进行登陆，检查系统是否拒绝此类登陆请求;4.使用成功注册的测试账号登录系统，进行账号修改操作，新的账号使用敏感账号，验证系统是否拒绝此类账号修改操作

1.用admin.system等敏感账号登录系统无法正常登录;2系统拒绝了使用敏感账号作为新账号的修改操作

webAP一通用一会话管理一01(可选)

会话过程中不允许修改的信息，应作为会话状态的一部分在服务器端存储和维护。例如，当用户通过认证后，其用户标识在整个会话过程中不能被篡改，禁止通过隐藏域或URL重写等不安全的方式存储和维护用户标识

1.在相关配置中设定会话信息的可编辑状态及存储状态

1.创建两个测试账号A和B，并保证账号功能正常;2.使用测试账号A登录系统，A通过认证后，进行测试操作;3.使用测试账号B进行认证操作，进行抓包，获取B的会话信息，将B的用户标识改为A的用户标识，提交访问，查看用户B是否可以未被授权地进入应用程序，冒充原先身份验证的用户A

1.服务器返回错误代码，用户B不可以进入应用程序;2.系统确保会话数据不能被非法访问、篡改

webAP一通用一会话管理一02

禁止使用客户端提交的未经审核的信息对会话信息赋值，防比会话信息被篡改，如恶意用户抓包后篡改数据包中手机号码等

在相关配置中设定会话信息赋值属性

1.创建测试账号，并保证账号功能正常;2.使用测试账号登录，并进行测试操作;3.用户在客户端填写信息，提交给服务器，提交过程中通过抓包等方式，篡改信息内容(如用户个人信息中的手机号)，查看服务器是否对用户输入的信息进行严格的验证

当更新会话数据时，系统对数据进行了严格的输入验证，赋值不成功服务器端返回信息提交不成功信息

webAP一通用一会话管理一03

用户登录后应分配新的会话标识，不能继续使用用户未登录前所使用的标识

在相关配置中设定用户标识

1.创建测试账号，并保证账号功能正常;2.使用测试账号进行重复认证;3.验证测试账号认证成功后，系统是否为用户分配新的会话标识

用户每次认证成功后，系统为用户创建新的会话标识，与用户之前登录所使用的会话标识不同

we