代码审计服务技术白皮书v1.1.docx

专业服务技术白皮书
代码审计服务
版本
说明
2012/5/21

文档创建、丰富内容
目录
概述 1
1
1
1
1
服务的实施标准和原则 2
2
2
XXXX代码审计服务 3
3
3
3
3
4
5
，告 6
6
代码审计方法论 6
6
7
7
7
8
API 滥用 8
8
8
9
SQL注入漏洞 9
命令执行漏洞 9
9
9
9
10
10
10
Ajax调用 10
10
调试程序残留 10
相关工具 11
11
11
11
为什么选择 XXXX 11
概述

代码审计(Code Review )是由具备丰富编码经验并对安全编码原则及应用安全具有深刻 理解的安全服务人员对系统的源代码和软件架构的安全性、可靠性进行全面的安全检查。
代码审计服务的目的在于充分挖掘当前代码中存在的安全缺陷以及规范性缺陷，从而让 开发人员了解其开发的应用系统可能会面临的威胁，并指导开发人员正确修复程序缺陷。

在漏洞挖掘过程中有两种重要的漏洞挖掘技术， 分别是代码审计和模糊测试 (Fuzzing )。
代码审计是通过静态分析程序源代码，找出代码中存在的安全性问题；而模糊测试则需
要将测试代码执行起来，然后通过构造各种类型的数据来判断代码对数据的处理是否正常， 以发现代码中存在的安全性问题。
由于采用的分析方法不同，这两项技术的应用场所也有所不同。代码审计常用于由安全 厂商或企业的安全部门发起的代码安全性检查工作；模糊测试则普遍用于软件开发和测试部 门的程序测试。

实践证明，程序的安全性是否有保障很大程度上取决于程序代码的质量，而保证代码质 量最快捷有效的手段就是代码审计。
在风险评估过程中，代码审计是一般脆弱性评估的一种很好的补充， xxxx代码审计服务
的代码覆盖率为100%，能够找到一些安全测试所无法发现的安全漏洞。
同时，由于主持代码审计的安全服务人员一般都具备丰富的安全编码经验和技能，所以 其针对性比常见的脆弱性评估手段会更强、粒度也会更为细致。

对于客户而言，代码审计可以带来以下收益：
明确安全隐患点
代码审计能够对整个信息系统的所有源代码进行检查，从整套源代码切入最终明至 某个威胁点并加以验证，以此明确整体系统中的安全隐患点。
提高安全意识
如上所述，任何的隐患在代码审计服务中都可能造成 “千里之堤溃于蚁穴” 的效果,
因此代码审计服务可有效督促管理人员杜绝任何一处小的缺陷，从而降低整体风险。
提高开发人员安全技能
在代码审计服务人员与用户开发人员的交互过程中， 可提升开发人员的技能。另外,
通过专业的代码审计报告，能为用户开发人员提供安全问题的解决方案，完善代码安全 开发规范。
服务的实施标准和原则

xxxx代码审计服务将参考下列规范进行工作。
OWASP TOP 10
CWE/SANS TOP 25
ASP/ 安全编码规范
xxxx代码审计最佳实践
xxxx安全服务工作规范、代码审计实施规范

xxxx在提供代码审计服务中，将遵循下列原则。
保密性原则
保密性原则是代码审计服务中最重要的原则，它是鼓励客户实施代码审计服务的心理基 础，同时也是对客户的人格及隐私权的最大尊重。代码审计的保密范围，包括客户提供源代 码和相关技术文档的保密性以及输出成果的保密性。对服务过程中获知的任何客户系统及源 代码的信息均属秘密信息，不得泄露给第三方单位或个人，不得利用这些信息进行任何侵害 客户的行为；对服务的报告提交不