网站开发中的安全检查(Penetration Test)
一般稍微大一点规模的网站上线前都要做一下安全性测试。(Penetration Test)
安全测试一般包括以下几个步骤：
1.选择一系列安全问题点,分析测试的可行性.(选择几个需要进行测试的问题,例如SQL注入)
2.定位系统缺陷,并在其中找出高风险性的部分.(一般使用自动化工具)
3.定位那些可能存在的, 难以被自动化测试工具测试出来的缺陷.
4.评估缺点对潜在业务和操作的影响.
5.测试现有系统防御能力,应对和处理攻击数据的能力.
6.提供用于改进享有系统安全性的建议
一般常见的问题如下:(包括但不仅限于)
1.SQL 注入。
2.XSS 和 CSRF。
3.Cookies,Session劫持和伪造。
4.不必要的权限和信息泄露。
5.伪造数据和授权问题
6.环境和代码安全性 (服务器配置,混淆,加壳等)
问题原因往往是:
1.架构设计的缺陷或者未充分考虑安全性
2.代码BUG
3.不完整的测试,代码覆盖率不够高(当然较高的代码测试覆盖率意味者较高的成本,一般指关于逻辑和数据的测试)
4.未及时移除测试性代码和将DEBUG的信息发布到生产环境
5.服务器设置,特别是权限
6.某些人员恶意修改
一般分为自动化和人工两个部分
自动化一般是使用自己或者第三方开发的工具：
第三方工具推荐: IBM AppScan http://www-01.ibm.com/software/awdtools/appscan/ 非常贵但是非常好用的End-to-End测试工具
还有一些免费的测试工具,例如nikto和skipfish 不过免费的...确实不是什么好货色....
这些自动化工具同时一般也包含服务器扫描,断链,拼写检查等功能
人工测试主要是以下的策略:
1. CodeReview
- CodeReview其实很大程度上是为了给developer一种压力,让developer知道有人会查看他的代码,从而促使他提供更高质量的产品.
- CodeReview还有其他很多的用途,移除程序中的缺陷是其中比较重要的一个.
2.手动测试
- 一般是选择几个关键的流程和功能进行测试
有兴趣的朋友可以看看这个文档 Technical Guide to Information Security Testing and Assessment
和这个网页 http://en.wikipedia.org/wiki/Penetration_test
另外建议项目适当的设置不同的环境 (不仅仅用于保证安全性)
1.Local
2.DEV 用于开发小组的内部测试,一般程序员只能工作于Local和DEV环境
3.QAT 只有QA有权限部署该环境,QA在这个环境工作
4.UAT 用户将在这个环境进行测试,该环境的搭建和程序集的编译往往是和开发人员无关的
5.Prod
