动态页面漏洞日常自查法.docxVIP

动态页面漏洞日常自查法

我做web开发快十年了，见过太多原本可以避免的安全事故：一个没做校验的搜索框导致整个数据库被拖走，一个上传功能没做限制被人挂了黑页，一个忘了关的调试报错把服务器信息全漏给攻击者，追根溯源几乎都是小问题——每次迭代改完代码没人顺手查，漏洞攒了几个月最终捅出大篓子。动态页面因为需要和用户交互、随时迭代更新，漏洞不会一上线就全部暴露，往往改着改着就留下新坑，所以日常自查比一年一次的渗透测试更靠谱，也更能防患于未然。今天我就把自己踩坑踩出来的、普通人就能上手的日常自查方法整理出来，不管是开发还是测试，每天花十几分钟就能做，不用高深的工具也能挡住绝大多数常见漏洞。

1先理清方向：动态页面漏洞自查要找对高发区

很多人刚做自查的时候总觉得无从下手，不知道该查什么，其实只要先搞清楚动态页面的特点和漏洞高发的地方，就能少做无用功，提升自查效率。

1.1先搞懂动态页面为什么更容易出漏洞

和提前写好内容的静态页面不一样，动态页面是用户访问的时候才实时生成的，要接收用户传的各种参数、要调用数据库、要给不同用户返回不同内容，几乎所有和用户交互的入口都是动态生成的，而我们每次改需求、加功能，都会动到这些入口，稍微不注意就会留下漏洞。不是说上线的时候做过一次安全测试就一劳永逸了，每次迭代都可能出新问题，所以必须把自查融入日常，改一次查一次。

1.2日常迭代里最容易出漏洞的五个高发区