【溢+应用安全】DOs&TODOList

各位领导：

通过此前review伟业给出的安全报告，结合溢+现状，目前，在应用安全方面，如下是重点要完善和改进的清单。其中一部分已经在改进中，系统安全是一场持久战，未尽事项将在后续逐步完善。

 

 

[漏洞名称]                重复支付-

[解决方案]                系统会对每次支付交易的订单号做校验，如果订单已支付则终止本次支付请求。即，支付单号唯一。

                                     实际可能存在如下情况，短时间内的多笔支付请求，支付金额相同而订单号不同，这种情况可能是存在的。当然，也不排除风险的存在，在小额免密的快捷支付时可能会给客户造成经济损失。对于这样情况，需考虑风控手段，类似的风控措施有：

                                     a）给系统管理员发出告警

                                     b）发送短信验证码，操作人确认后再进行交易

[处理优先级]           中

[目前进度]                待产品风控需求

---------------------------------------------------------------------------------------------------------------

 

[漏洞名称]                重放攻击-

[解决方案]                常规的做法是，请求方和提供方在每次交易请求时约定一个唯一的TID，并参与签名，请求方携带此ID，提供方校验ID。如果已存在，则终止。

                                     更进一步，每笔请求携带一个格式为yyyyMMddHHmmss的系统时间，并参与签名。提供方验证此时间与当前系统时间的差值是否在一个特定小的范围内，如果超出则表示恶意攻击，终止交易处理。

[处理优先级]           中

[目前进度]                有些接口有此参数，待统一接口入参

---------------------------------------------------------------------------------------------------------------

 

[漏洞名称]                程序漏洞-

[解决方案]                上传程序要校验用户上传的文件的类型、大小，只允许用户上传固定类型的文件。

                                     文件目录安全：用户会修改文件的扩展名以蒙混过关上传到服务器上，为了防止用户上传恶意文件，需在服务器上，禁掉上传目录里文件的执行权限。

[处理优先级]           高

[目前进度]                将与运维配合完成

---------------------------------------------------------------------------------------------------------------

 

[漏洞名称]                接口接入授权-

[解决方案]                对于公开的接口，商户接入时，

                                     a）配置IP白名单。非给定的IP，直接在网络层过滤掉。

                                     b）授权域名。仅接受特定域名发起的请求。

[处理优先级]           中

[目前进度]                商户对接时使用

---------------------------------------------------------------------------------------------------------------

 

[漏洞名称]                SQL注入攻击-

[解决方案]                对于那些接收用户输入或传值的，在数据存储或查询时，底层的sql脚本一律改为参数化查询sql。以防止关键字符带来的sql注入漏洞。

[处理优先级]           高

[目前进度]                正在改进

---------------------------------------------------------------------------------------------------------------

 

[漏洞名称]                信息泄露-

[解决方案]                a）敏感数据，如客户银行卡号、手机号、身份证件号，在存储和显示时，省略掉部分字符取代完整的字符。或者给予加密。

                                     b）日志文件里，不记录秘钥、客户银行卡号、证件号等敏感数据。

                                     c）登陆密码、支付密码限制采用强密码策略，不可逆加密存储。

[处理优先级]           高

[目前进度]                正在改进

---------------------------------------------------------------------------------------------------------------

 

 

张国战

2017/05/09