静态代码测试公司

哨兵科技典型案例：代码审计

服务对象：**油气田公司

服务内容：针对油气田公司将上线的数套系统进行代码审计测试工作，主要目的是在源代码层级，审计系统程序的安全性，降低攻击者入侵的风险，找出目标系统是否存在可以被攻击者真实利用的漏洞以及由此引起的风险大小，从而为制定相应的应对措施与解决方案提供实际的依据。通过分析存在的弱点和风险，为安全整改提出建议以及提供依据

完成情况：挖掘数十个高中危漏洞，并出具代码审计测试报告，协助整改。 采用静态代码扫描工具对代码进行静态扫描，人工对扫描结果进行追踪复现，排除误报项。静态代码测试公司

代码审计服务内容：系统所用开源框架包括反序列化漏洞，远程代码执行漏洞，spring、struts2安全漏洞，PHP安全漏洞等；应用代码关注要素：日志伪造漏洞，密码明文存储，资源管理，调试程序残留，二次注入，反序列化；API滥用：不安全的数据库调用、随机数创建、内存管理调用、字符串操作，危险的系统方法调用；源代码设计：不安全的域、方法、类修饰符未使用的外部引用、代码；错误处理不当：程序异常处理、返回值用法、空指针、日志记录；直接对象引用：直接引用数据库中的数据、文件系统、内存空间；资源滥用：不安全的文件创建／修改／删除，竞争冲凸，内存泄露；业务逻辑错误：欺骗密码找回功能，规避交易限制,越权缺陷Cookies和session的问题；规范性权限配置：数据库配置规范，Web服务的权限配置SQL语句编写规范。第三方代码审计报告的目的跨站脚本攻击是指攻击者通过注入恶意脚本来窃取用户数据或进行其他恶意操作。

什么样的代码审计报告才能作为信息化项目验收使用？首先，第三方代码审计机构必须取得相应的国家资质，例如CMA或者CNAS资质，认可检测服务范围并必须含代码审计这项测试服务。这样的审计报告才能被认为是有法律效力的。其次，在代码审计的服务内容里还包含了回归测试，在初次审计结束后我们需要配合承建方进行整改，将高危，中危的代码重新合理的规范的编写，再出具代码审计报告。第三方测试机构一定要有丰富的软件测试经验，专业的工程师团队，更多元化的安全知识和经验，能够识别各种潜在的安全威胁。

单次代码审计是指一次性为客户的被审计系统开展代码审计服务，服务完成后提交源代码审计报告并指导客户针对安全漏进行修复。单次服务只能够发现目前源代码中可能存在的各种安全问题，对于系统后续开发产生的安全问题无能为力。进行单次代码审计的客户有以下几种情况：1)信息系统上线前进行代码审计，确保系统安全后，后续不再进行代码审计工作；2)客户为甲方开发系统，为证明系统安全无问题交付，而进行的单次代码审计，后续甲方不再进行代码审计工作；3)为应付安全检查而进行的单次代码审计工作，后续不再进行安全检测工作；4)等保测评要求项中要求开展代码审计工作，通过等保后，后续不再进行代码审计工作哨兵科技持有CMA和CNAS资质，并且具有代码审计测试服务。可以出具具有法律效力的代码审计报告。

为保证代码安全性，哨兵科技的代码审计业务融合人工的专业审查与代码审计工具检测，以静态代码审计和动态代码审计两种方式进行深挖细究。针对项目源代码，从输入验证、API误用、安全特性、时间和状态、错误处理、代码质量、代码封装、环境和网页木马后门等九项检测项进行测试。我们采用静态代码扫描工具codepecker、fortify、bandit以及murphysec等，对代码进行静态扫描，人工对扫描结果进行追踪复现，排除误报项。同时对代码进行人工审计，通过模拟各种攻击场景和用户操作，依据代码审计checklist，对代码中的关键函数、入口点、爆发点进行审查追踪调用链，分析代码逻辑以及代码架构，找出工具漏扫部分缺陷。如果有测试环境，对找出的部分缺陷进行验证，进一步确保缺陷准确率。在进行软件安全测试时，应用安全、代码审计、漏洞扫描和渗透测试成为信息安全领域的四大重要环节。拉萨第三方代码审计评测费用

等保测评要求项中要求开展代码审计工作，通过等保后，后续不再进行代码审计工作。静态代码测试公司

渗透测试是一种黑盒测试。测试人员在获得目标的IP地址或域名信息的情况下，完全模拟嘿客使用的攻击技术和漏洞发现技术，对目标系统的安全做深入的探测，发现系统蕞脆弱的环节。能够直观的让管理人员知道网络所面临的问题。而代码审计属于白盒测试，白盒测试可以直接从代码层次看漏洞，能够发现一些黑盒测试发现不了的漏洞，比如二次注入，反序列化，xml实体注入等。两者虽然有区别，但在操作上可以相互补充，相互强化。例如：黑盒测试通过外层进行嗅探挖掘，白盒测试从内部充分发现源代码中的漏洞风险;代码审计发现问题，渗透测试确定漏洞的可利用性;渗透测试发现问题，代码审计确定成因。静态代码测试公司