項(xiàng)目應(yīng)用系統(tǒng)開(kāi)發(fā)安全管理規(guī)范-資料下載頁(yè)
2025-04-19 01:14本頁(yè)面
【正文】 標(biāo)準(zhǔn)庫(kù)中的類(lèi)都默認(rèn)是可以公共訪問(wèn)的（除了由“sun”開(kāi)頭的類(lèi)）。為了保證一個(gè)包的安全性，必須修改${JAVA HOME}/jre/lib/。該文件中的重要行是：216。 =sun.216。 雖然該方法有作用，但仍存在問(wèn)題。，“sun.”將保護(hù)“”等包，但是不會(huì)對(duì)“sun”或者“sunshine”等包進(jìn)行保護(hù)。216。 另一個(gè)方法是使用JAR密封(sealing) 。JAR(Java ARchive)文件是一些類(lèi)的打包壓縮格式的文件，與常用的ZIP格式類(lèi)似。如果從一個(gè)密封(sealing)的JAR文件中加載一個(gè)類(lèi)，隨后同一個(gè)包的類(lèi)只能從該JAR文件加載。為了起用密封(sealing)，必須在建立JAR文件時(shí)這樣設(shè)置密封(seal)參數(shù)：216。 Sealed: true 216。 使用密封(sealing)的JAR文件比權(quán)限 (permission) 設(shè)置更好，因?yàn)樗恍枰惭b安全管理器(security manager)。 政策文件Java內(nèi)建的安全管理器是對(duì)應(yīng)用程序進(jìn)行限制的一個(gè)方便的工具。很多情況下需要編制一個(gè)定制的安全管理器。這是通過(guò)Java政策文件實(shí)現(xiàn)的?？梢杂谜呶募韵鄬?duì)模塊化的方式控制文件系統(tǒng)和網(wǎng)絡(luò)的訪問(wèn)。例如可以限制應(yīng)用程序只能修改名字是foo的文件。宜使用Java政策文件和安全管理器而不是重新創(chuàng)建一個(gè)類(lèi)或者系統(tǒng)來(lái)限制對(duì)主機(jī)和網(wǎng)絡(luò)的訪問(wèn)。 C/C++語(yǔ)言C本質(zhì)上是不安全的編程語(yǔ)言。例如如果不謹(jǐn)慎使用的話，其大多數(shù)標(biāo)準(zhǔn)的字符串庫(kù)函數(shù)有可能被用來(lái)進(jìn)行緩沖區(qū)攻擊或者格式字符串攻擊。但是，由于其靈活性、快速和相對(duì)容易掌握，它是一個(gè)廣泛使用的編程語(yǔ)言。下面是針對(duì)開(kāi)發(fā)安全的C語(yǔ)言程序的一些規(guī)范。 緩沖區(qū)溢出避免使用不執(zhí)行邊界檢查的字符串函數(shù)，因?yàn)樗鼈兛赡鼙挥脕?lái)進(jìn)行緩沖區(qū)溢出攻擊。下面是應(yīng)避免使用的函數(shù)。同時(shí)，也列出了每個(gè)函數(shù)相應(yīng)的比較安全的替換方式。216。 不使用strcpy()，使用strncpy()216。 不使用strcat()，使用strncat()216。 不使用sprintf()，使用snprintf()216。 不使用gets()，使用fgets()在上面的前三個(gè)中函數(shù)中，每個(gè)替代函數(shù)的“n”表示了使用的緩沖區(qū)的大小。最后一個(gè)函數(shù)的“f”，表示格式，它允許用戶指定期望的輸入的格式。這些替換方程強(qiáng)制程序員定義使用的緩沖區(qū)的尺寸以及確定輸入的類(lèi)型。 格式化字符串攻擊（Format String Attack）該類(lèi)攻擊往往與緩沖區(qū)溢出相關(guān)，因?yàn)樗鼈兺饕昧四承┖瘮?shù)的假設(shè)，例如sprintf()和vsprintf()假設(shè)緩沖區(qū)的長(zhǎng)度是無(wú)限的。然而即使使用snprintf()替換sprintf()也無(wú)法完全保護(hù)程序不受格式化字符串的攻擊。這些攻擊通過(guò)直接將格式說(shuō)明符（format specifiers）(%d，%s，%n等)傳遞到輸出函數(shù)接收緩沖區(qū)來(lái)進(jìn)行。例如，以下的代碼就是不安全的：snprintf(buffer, sizeof(buffer), string) 這種情況下，可以在字符串中插入格式說(shuō)明符來(lái)操縱內(nèi)存的棧，來(lái)寫(xiě)入攻擊者的數(shù)據(jù)（這些數(shù)據(jù)中包含小的程序代碼，并可由處理器接著執(zhí)行）。 更多關(guān)于這些攻擊的具體內(nèi)容請(qǐng)見(jiàn)資源章節(jié)。對(duì)以上的例子建議使用下面的代碼。snprintf(buffer, sizeof(buffer), “%s”, string) 進(jìn)行格式字符串攻擊不太容易。首先攻擊者必須能獲得內(nèi)存棧的內(nèi)容情況（從應(yīng)用導(dǎo)出或者使用調(diào)試器），然后必須知道如何精確訪問(wèn)特定的內(nèi)存空間來(lái)操縱棧中的變量。 執(zhí)行外部程序推薦使用exec()函數(shù)而不是system()函數(shù)來(lái)執(zhí)行外部程序。這是因?yàn)閟ystem()接收整個(gè)命令行的隨機(jī)的緩沖區(qū)來(lái)執(zhí)行程序。snprintf(buffer, sizeof(buffer), emacs %s, filename)。 system(buffer)。在以上的例子中，可以通過(guò)使用分號(hào)利用文件名變量在sehll中插入額外的命令（例如文件名可以是/etc/hosts。 rm *，這將在顯示/etc/hosts目錄文件的同時(shí)，刪除目錄中的所有文件）。而exec()函數(shù)只保證第一個(gè)參數(shù)被執(zhí)行：execl(usr/bin/emacs, usr/bin/emacs, filename, NULL)。上面的例子保證文件名僅僅作為一個(gè)參數(shù)輸入Emacs工具，同樣它在Emacs命令中使用完全的路徑而不是使用可以被攻擊者利用的PATH環(huán)境變量。 競(jìng)爭(zhēng)條件（race condition）進(jìn)程需要訪問(wèn)資源時(shí)（無(wú)論是磁盤(pán)、內(nèi)存或是文件）通常需要執(zhí)行兩個(gè)步驟：216。 首先測(cè)試資源是否空閑可用216。 如果可用，就訪問(wèn)該資源，否則它等到資源不再使用為止再去訪問(wèn)它當(dāng)另一個(gè)進(jìn)程在步驟1和2之間想要訪問(wèn)同一個(gè)資源時(shí)將出現(xiàn)問(wèn)題，導(dǎo)致不可預(yù)測(cè)的結(jié)果。進(jìn)程可能會(huì)被鎖定，或者一個(gè)進(jìn)程籍此獲得了另一個(gè)進(jìn)程的較大的權(quán)限而導(dǎo)致安全問(wèn)題。攻擊主要集中在有較大權(quán)限的程序上（稱(chēng)為setuid程序）。競(jìng)爭(zhēng)條件攻擊通常利用程序執(zhí)行時(shí)可以訪問(wèn)到的資源。另外權(quán)限低的程序也存在安全風(fēng)險(xiǎn)，因?yàn)楣粽呖赡軙?huì)等待有較高權(quán)限的用戶執(zhí)行那個(gè)程序(例如root)，然后進(jìn)行攻擊。下面的建議有助于緩解競(jìng)爭(zhēng)條件(race condition)攻擊：在進(jìn)行文件操作時(shí)，利用那些使用文件描述符的函數(shù)而不使用那些使用文件路徑的函數(shù)（例如使用fdopen()而不要使用fopen()）。文件描述符使得惡意的用戶在文件打開(kāi)時(shí)或是在原始的進(jìn)程對(duì)文件進(jìn)行操作前，無(wú)法使用文件連接（符號(hào)式的或是物理的）來(lái)改變文件。在寫(xiě)文件甚至在讀文件時(shí)宜使用ftl()和flock()函數(shù)來(lái)對(duì)文件加鎖，這樣它們就不能被其他進(jìn)程訪問(wèn)。它幾乎可以建立原子級(jí)的操作。應(yīng)謹(jǐn)慎操縱臨時(shí)文件，因?yàn)樗鶗?huì)導(dǎo)致競(jìng)爭(zhēng)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1