【正文】 加載。 這是通過 Java 政策文件實現(xiàn)的。 C/C++ 語言安全規(guī)范 C 本質(zhì)上是不安全的編程語言。 緩沖區(qū)溢出 避免使用不執(zhí)行邊界檢查的字符串函數(shù)，因為它們可能被用來進行緩沖區(qū)溢出攻擊。 18 ? 不使用 strcat()，使用 strncat() ? 不使用 sprintf()，使用 snprintf() ? 不使用 gets()，使用 fgets() 在上面的前三個中函數(shù)中，每個替代函數(shù)的“ n”表示了使用的緩沖區(qū)的大小。然而即使使用 snprintf()替換 sprintf()也無法完全保護程序不受格式 化字符串的攻擊。對以上的例子建議使用下面的代碼。這是因為 system()接收整個命令行的隨機的緩沖區(qū)來執(zhí)行程序。 rm *，這將在顯示 /etc/hosts 目錄文件的同時，刪除目錄中的所有文件。同樣它在 Emacs命令中使用完全的路徑而不是使用可以被攻擊者利用的 PATH 環(huán)境變量。攻擊主要集中在有較大權限的程序上（稱為 setuid 程序）。文件描述符使得惡意的用戶在文件打開時或是在原始的進程對文件進行操作前，無法使用文件連接（符號式的或是物理的）來改變文件。 檢驗有效的返回值 檢驗有效的返回值非常重要。正如前面指出的，最好的方法之一是讓盡可能多的人來檢查代碼（而不是在 QA 環(huán)境中實際進行白箱或者黑箱測試）。本文介紹了一些這方面的工具。 c) 容易使用 － 大多數(shù)情況下，程序員只需要將工具指定到特定的代碼上然后選擇“掃描”。另外，這 些工具都可以免費獲得，甚至可以獲得它們的源代碼，所以不需考慮它們的成本。 printf(buffer, variable)。 Pscan 程序相對簡單，它只將結果返回都標準輸出，當然也可以將其輸出到文件，并且除了說明程序員應該怎樣修正錯誤以外不給出語句為什么出錯等類似的信息。和 Pscan 類似，該程序可以發(fā)現(xiàn)很多種類型的錯誤，除了 printf()和標準的字符串函數(shù)，它還可以發(fā)現(xiàn)競爭條件和系統(tǒng)調(diào)用。 總之， Flawofinder 是一個相當出色的 C 程序檢查工具，速度會，界面友好，返回信息豐富，安裝使用相對簡單。 b) 只有指定的人員如程序庫管理員經(jīng)過適當?shù)墓芾硎跈嗪蟛趴梢栽L問運作程序庫，對運作程序庫的訪問必須結合進行嚴格的訪問控制技術手段和雙重訪問控制機制。 建立雙重訪問控制機制 雙重訪問控制機制就是對運作程序庫的管理需要兩個人同時進行認證才可以通過的方式。 管理源程序庫 我們通常將直接由程序設計語言編制而成的程序稱之為源程序。因此為了降低計算機程序被破壞的可能性，應對源程序庫的訪問進行嚴格的控制： 錯誤 !文檔中沒有指定樣式的文字。 c) 各項應用均應當指定相應的管理員。 g) 源程序庫的更新和向程序員發(fā)布的源程序應當由指定的管理員根據(jù)一定的授權進行，不得私自自行更新或發(fā)放 。 b) 對于敏感的應用系統(tǒng)的更改應由另一人員進行檢查，為了有效的進行控制，組織應當建立更改控制審批程序， 對更改的申請、評審、測試、批準、更改的計劃的提出和實施提出明確要求并嚴格的實施，確保安全性與控制程序不被損害，程序設計人員只能訪問他們工作所必需的部分，確保任何的改動都是經(jīng)過審批的。 ? 在正式的實施之前，更改的方案必須經(jīng)過評審并通過正式的批準。 ? 保證所有的應用系統(tǒng)升級的版本的控制。 錯誤 !文檔中沒有指定樣式的文字。 c) 源程序相關信息可以幫助我們確認系統(tǒng)問題的根源，并且一旦掌握了系統(tǒng)源程序相關信息可以清楚地了解系統(tǒng)的運行邏輯和可能的薄弱點。 c) 應用系統(tǒng)軟件版本審批，確認對應用系統(tǒng)的版本的升級，此時需確認當前的版本為最新的版本，舊的版本需進行歸 檔，不得隨意丟棄或刪除。 b) 使用軟件加鎖技術防止不同版本的覆蓋的情況。 f) 紀錄所有的版本變更的日志，記錄包括了更改日期，更改前版本號，更改后版本號，更改人，審批人等信息。 ? 惡意后門 — — 由設計者故意設置的機關，用來監(jiān)視用戶的秘密甚至與破壞應用系統(tǒng)。隱藏通道可以通過某些直接的或間接的方法暴露信息。 b) 檢驗和驗證源程序和源代碼。 g) 不要過于相信別人，不能隨便安裝別人給的軟件，特別是不能隨便打開電子郵件中的附件。 對軟硬件的測試必須事先有正式的測試計劃。 如果不達到標準，則需要對測試結果劃分一個錯誤嚴重性等級，因為如果沒有該等級，則無法對結果有一個很客觀的結論。 從系統(tǒng)開發(fā)的角度而言，系統(tǒng)測試是指由系統(tǒng) 開發(fā)人員（程序員和其它技術人員）進行的旨在確保系統(tǒng)各個模塊能夠正常運行（模塊測試）以及系統(tǒng)整體能夠正常運行的測試過程。 a) 系統(tǒng)負載測試，負載表示對系統(tǒng)得要求，一般包括以下因素： ? 程序和數(shù)據(jù)的總體存儲容量 ? 并發(fā)運行的應用程序數(shù)量 ? 并發(fā)用戶的數(shù)量，峰值，槽值和平均值 ? 外設數(shù)量 并且，確定硬件 的規(guī)模比較復雜，在確定了上述因素以后，還需要 確定其它類似響應時間等因素。在現(xiàn)實中， UAT 需要有周密詳盡和準確的測試計劃，特別是驗收的標準必須非常詳細。 b) 對任何系統(tǒng)而言，對于出現(xiàn)的問題必須要明確要對這些問題做出哪些應對措施以及誰來做這些應對措施，例如用戶，項目團隊，供應商或者是咨詢顧問等所有可能的項目參與方。 ? “致命問題” 如果該程度錯誤發(fā)生，則測試不能繼續(xù) ? “重大問題” 測試可以繼續(xù)，但是系統(tǒng)不能上線 ? “主要問題” 測試可以繼續(xù)，但是如果不解決該問題，則系統(tǒng)上線后，可能對業(yè)務流程有嚴重破壞。 ? 系統(tǒng)的用戶在征得主辦項目的高層領導意見的前提下必須就每類錯誤需要采取的行動和各自需要承擔的責任等問題取得一致。 如果當有不一致的時候有預先的準備。 這些條件可能增加了工作范圍。 ? 工作人員在兩個環(huán)境里面切換，則容易操作失誤，引起不必要的麻煩。只允許小部分的測試人員進行測試。 d) 紀錄下測試數(shù)據(jù)的復制、使用和刪除的情況，以便于審查追蹤。 錯誤 !文檔中沒有指定樣式的文字。 撰寫新系統(tǒng)和系統(tǒng)改進的文檔 如果缺乏足夠的文檔，當系統(tǒng)發(fā)生問題的時候，只能憑經(jīng)驗解決，而有可能會錯上加錯。 由于資源和預算的限制，文檔不充分或者完全沒有是不允許發(fā)生的事情。例如開發(fā)商應該通過了 ISO9001 質(zhì)量管理體系認證或軟件成熟度 CMM 等級。 e) 應當在系統(tǒng)正式投入使用之前仔細測試代碼中是否包含了特洛伊木馬程序或隱藏通道。 c) 應該與外包的供應商確定軟件開發(fā)后的使用許可、代碼的所有權和相關知識產(chǎn)權的歸屬問題。 32 應用系統(tǒng)開發(fā)外包安全控制 如果對于外包 (Outsourcing)應用系統(tǒng)開發(fā)過程缺乏有效的安全控制，組織就會面臨很多的風險，例如應用系統(tǒng)本身的質(zhì)量問題、應用系統(tǒng)本身隱藏了特洛伊木馬或隱藏通道等。 a) 所有新 系統(tǒng)和系統(tǒng)改進都必須有充分的最新的文檔支持，如果文檔沒有具備則系統(tǒng)不能上線。 必須保證所有的技術和業(yè)務用戶接受足夠的關于新系統(tǒng)或者系統(tǒng)改進的培訓。否則就有可能導致非常嚴重的問題，甚至使企業(yè)的日常運營中止。 b) 每一次將真 實的運作信息復制到測試系統(tǒng)時間均需要一個單獨的授權過程。 為測試使用真實的數(shù)據(jù) 測試的數(shù)據(jù)通常情況下是虛構的，但是有時候需要使用實際的操作或運作的數(shù)據(jù)，當該數(shù)據(jù)含有企業(yè)敏感信息的時候，如果不加以控制，會造成數(shù)據(jù)的泄漏。 在測試的過程中詳細的描述每個和測試方案相關的測試步驟和測試數(shù)據(jù) 將所有的測試數(shù)據(jù)進行整理歸檔，將出錯的紀錄進行分析，確認問題產(chǎn)生的原因并編寫問題報告。事實上，沒有一個系統(tǒng)是完美無缺的，因此最終用戶和系統(tǒng)開發(fā)上必須就每一類錯誤的數(shù)量有一個上限。 注意事項： 就算錯誤嚴重程度確定以后的問題已經(jīng)萬無一失了，但是怎樣確定錯誤嚴重程度還是一個頭疼的問題。 ? “次要問題” 可以繼續(xù)測試和上線，但這些問題必須修正，同時這些問題對業(yè)務流程沒有或者很少有影響。它的取值范圍從 1 到 6，分別表示從業(yè)務 /商業(yè)影響角度評估在系 統(tǒng)測試過程中發(fā)現(xiàn)問題。 a) 盡管系統(tǒng)的用戶接受測試計劃可能隨著系統(tǒng)的不同而不同，但是一般而言，測試必須涵蓋所有今后實際運行中可能發(fā)生的事件。 錯誤 !文檔中沒有指定樣式的文字。同時還測試系統(tǒng)的模塊和模塊之間，功能和功能之間的接口的正確性。因此主要分為系統(tǒng)測試和用戶接受測試 系統(tǒng)測試 系統(tǒng)測試有很多種定義。并且測 試計劃還需要覆蓋除此之外的測試內(nèi)容和結果，使之更加全面。 h) 安裝并正確的使用有關的特洛伊木馬的監(jiān)測和查殺程序，現(xiàn)在大多數(shù)主流的殺病毒軟件也帶有該功能，比較流程的專門用于查殺特洛伊木馬的程序主要有 Lockdown20 The Cleaner、 Trojian Defence Suit 等。 e) 使用可靠的開發(fā)人員操作密鑰系統(tǒng)。 錯誤 !文檔中沒有指定樣式的文字。特洛伊木馬可以放置在正常的文件或程序中，當用戶打開或執(zhí)行它的時候，它就會自動的安裝在計算機上，使得某些人通過 Inter 訪問該計算機成為可能，使計算機處于一種非常危險的狀態(tài)。利用調(diào)用環(huán)境的權利進行與其實際用途無關的拷貝、濫用或破壞數(shù)據(jù)，主要有三種類型的后門程序： ? 調(diào)試后門 —— 為了方便調(diào)試而設置的機關，系統(tǒng)調(diào)試后未能及時消除。 d) 提供版本的合并功能。 e) 應用系統(tǒng)軟件版本升級實施。 版本升級控制規(guī)范 a) 應用系統(tǒng)軟件開發(fā)版本升級申請，當軟件的版本由于更新，修改等操作需要升級時必須先向相關負責人員提交申請。 b) 對應用系統(tǒng)開發(fā)源程序的打印的資料、電子版本或者是相關的報告都必須進行控制，紙質(zhì)的文件應當保存在一個 安全的環(huán)境下，如保險柜等。 ? 確保用戶使用手冊作相應的必要的更改。 ? 確 保在實施的過程中，盡量的減少對現(xiàn)行的商務運作系統(tǒng)的影響。 ? 清晰的確認更改的原因 (業(yè)務上的具體流程和具體的需求或開發(fā)上的需求 ) ? 由授權的用戶提交更改的申請。 在軟件開發(fā)過程變更管理規(guī)范 a) 系統(tǒng)容易受到更改的攻擊，即使是完全授權的更改也可能存在破壞性的影響，存在數(shù)據(jù)完整性的損失、應用系統(tǒng)的不可用以及機密信息的泄漏的風險。 e) 源程序庫和運作程序庫盡量分開存放并且分開管理。如果源程序沒有 很好的保護，會造成系統(tǒng)及其設置會遭到未經(jīng)授權的訪問并造成系統(tǒng)的安全性可靠性大大下降。因此源程序包含了系統(tǒng)及其控制如何實現(xiàn)的細節(jié)，為未授修改系統(tǒng)提供了很好的切入點，例如設置邏輯炸彈。其總需要進行認證的兩個人彼此不知道對方的認證 口令或步驟。 b) 嚴格管理開發(fā)用途的計算機使用，只有指定的人員才可以訪問開發(fā)用的計算機設備。 控制軟件代碼程序庫 管理運作程序庫 我們通常將用于系統(tǒng)開發(fā)的開發(fā)軟件工具和開發(fā)平臺稱之為運作程序，因此為了降低計算機程序被破壞的可能性，應對運作程序庫的訪問進行嚴格的控制： a) 嚴格的管理在開發(fā)設備上的存放開發(fā)運作程序的目錄。而這對于程序員來說非常重要。 總體而言 Pscan 程序相對簡單，易于使用，同時針對性很強，但是由于它能夠適用的范圍過于狹窄因此一般不推薦其在大型商業(yè)應用中使用，而只是檢查一些相對簡單的程序片斷。 Pscan 的一個不足是不能發(fā)現(xiàn)由于越界檢查不充分而引起的常規(guī)性緩沖區(qū)溢出。該程序檢查所有用到標準 C 程序庫中的 printf()函數(shù)。 d) 報表 － 掃描結果應該以一種容易理解的格式來顯示，并且最好同時提示修改每個問題的方法，并附加理由。我們比較了每個工具的測試結果，并且仔細檢查了以下的屬性： a) 靈活性 － 有多種選項并能掃描多種類型的代碼的工具得 分會較高 錯誤 !文檔中沒有指定樣式的文字。這些錯誤可能會對整個系統(tǒng)導致重大的安全問題。如果該文件損壞了，那么這種情況是合理的，但如果該文件存在只是無法訪問，那么這就是一個大問題。它幾乎可以建立原子級的 操作。另外權限低的程序也存在安全風險，因為攻擊者可能會等 待有較高權限的用戶執(zhí)行那個程序 (例如 root)，然后進行攻擊。這會導致不可預測的結果。 而 exec()函數(shù)只保證第一個參數(shù)被執(zhí)行： execl(usr/bin/emacs, usr/bin/emacs, filename, NULL)。 system(buffer)。首先攻擊者必須能獲得內(nèi)存棧的內(nèi)容情況（或者從應用導出或者使用調(diào)試器），然好必須知道如何精確訪問特定的內(nèi)存空間來操縱棧中的變量。例如，以下的代碼就是不安全的： snprintf(buffer, sizeof(buffer), string) 這種情況下，可以在字符串中插入格式說明符來操縱內(nèi)存的棧，來寫入攻擊者的數(shù)據(jù)（這些數(shù)據(jù)中包含小的程序代碼，并可由處理器接著執(zhí)