浅析Web应用软件开发安全.pdfVIP

浅析Web应用软件开发安全 王青国 江苏电力信息技术有限公司，江苏南京210018 摘要:本文结合国家电网公司信息化发展规划和现状，剖析Web应用常见的安全漏洞，分析漏洞的表现形 式、形成原因、规避措施，并提出了在软件开发生命周期全过程中预防安全漏洞的措施和方法.提出了从软件 开发过程管理和技术手段两个方面系统性地较少Web应用安全风险的方法.本文旨在帮助广大Web应用开发 人员了解常见安全漏洞、提高安全意识、掌握方法，提高自身开发软件的安全性.文章内容对企业信息主管部 门和应用软件开发单位加强安全管理、避免和减少安全事件的发生具有一定指导意义. 关键词:信息安全；Web应用;安全漏洞;安全风险;安全测试；代码审查；代码扫描 第五届电力安 2012年第4辑 全论坛论文集 (总第159辑) 程序，由于FlaSh支持全局变量，只要攻击者控制人员、架构师、经理和企业组织，让他们认识到最 了全局变量就可以实施多种攻击行为。例如 严重的Web应用程序安全漏洞及产生的后果，并在 自己的开发过程中避免这些问题。 Cross—S妇FI孙hing(跨站Flash攻击)、Cross．Site 2．1注入攻击漏洞 ScriptiIlgtllmu曲Fl笛h(通过FI∞h进行跨站脚本攻 击)等‘引。 不可信的数据作为命令或者查询语句的一部分 首先，由于w曲2．O新技术的引入，带来了新 被发送给解释器。攻击者发送的恶意数据可以欺骗 的安全隐患(如XSF攻击等)；其次，很多W曲1．O解释器，以执行破坏性的命令或者访问未授权的数 时代的安全隐患出现了新的传播渠道，如Aj狱应 据。常见的注入漏洞包括SOL注入、OS注入、LDAP 用提高了XSS、CSl强、DoS等攻击的机会：最后，注入等。 w曲2．O时代应用程序的数鼍飞速增长、复杂度不断 需要将不可信数据从命令及查询中区分开。具 提高、开发部署速度加快，也给软件本身的质量和 体措施：①完全避免使用解释器而是使用安全的参 开发过程管理带来了困难，增加了出现安全漏洞的 数化API。但仍要注意有些参数化的API(比如存 机会。 储过程)。如果使用不当仍然可以引入注入漏洞。② 1．3出现了安全风险控制前移的趋势 如果无法使用参数化的API，那么应该使用转义语 随着业界对W曲应用安全风险重视程度的不 法来避免特殊字符。③使用恰当的验证方法对输入 断提高，安全风险控制技术逐渐从单纯的桌面、服 进行验证，由于很多应用允许在输入中有特殊字符， 务器、网络和网关等基础设置控制，向包括中间件 这一方法不是完整的防护方法。 和应用程序在内的整体解决方案转变。在软件生命 2．2跨站脚本攻击漏洞 周期的角度来看，逐步从重视运行维护阶段的监视 应用程序收到含有不可信的数据，在没有进行 和防护，向包括需求、设计、开发、测试、部署、 适当验证和转义的情况下就将它发送给浏览器。攻 维护在内的软件全生命周期安全控制和防范整体解 击者可以利用XSS在受害者的浏览器上执行脚本， 决方案转变。由此也出现了一些新的方法论和工具 从而劫持会话、危害站点或者将用户转向恶意网站， 软件，IBM、HP、微软等纷纷推出自己的完整安全从而发动安全攻击…。 解决方案和支撑工具软件。 需要将不可信数据与动态的浏览器内容区分 例如，微软提出了安全软件开发模犁和安全开 开。具体措施：①根据数据将要置于的HTML上下 发周期，owASP提出了软件保证成熟模型。mM提