【代码-自查安全项】

已于 2022-01-28 14:22:52 修改
阅读量2.8k 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： java 文章标签： 安全
于 2022-01-28 14:21:35 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CJQ316210/article/details/122730449
自查安全项 重要等级
必须使用漏洞扫描自动化工具自行扫描应用
必须使用源代码审计自动化工具自行扫描组件及代码安全性
必须使用交互式应用安全检测工具扫描应用
1.要求外网系统应接入；内网erp账号体系系统应接入；外网erp账号体系系统接
2.外网系统应使用https传输登录信息；
3.若自建登录功能，业务系统管理后台由于特殊需要必须暴露在外网时，应对登陆者IP进行限制或登录IP发生异常（如异地登录）时添加二次验证机制；
4.若自建登录功能，应使用验证码等二次验证机制，且验证码应在每次登录成功或失败后失效刷新，防止用户名、密码被暴力猜测；
5.若自建登录功能，对密码、认证token 等敏感信息应加密传输，可通过查看请求数据包查进行判断；
6.若自建登录功能，用户登录失败的提示信息应为“用户名或密码错误”/“登录失败”等模糊提示，请勿直接提示”用户名不存在“、”密码错误“等明确信息；
1.系统注册应有二次核验机制，如手机/邮箱等方式验证，验证成功后与账号绑定；
2.短信发送接口应限制针对同一手机号的请求频率，如60秒内只发送一次；
3.用户设置的密码应有高复杂度限制， 建议长度不小于10位且同时包含大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊符号(!/$/#/%/_)，杜绝用户设置常见弱密码(如123456、qwert等有特殊规律的密码);
1.应有二次审核机制，如后端直接使用账号绑定的手机/邮箱等方式验证，测试前端是否有方法修改接收验证码的手机/邮箱为任意值；
2.短信发送接口应限制针对同一手机号的请求频率，如60秒内只发送一次；
3.在每一步环节应判断上一步的合法性，如发送验证码时检查手机号、邮箱是否为该账号绑定信息，访问修改新密码接口时判断是否输入过上一步发送的验证码，测试客户端能否通过直接访问修改密码接口绕过验证码等步骤；
4.用户设置的密码应有高复杂度限制， 建议长度不小于10位且同时包含大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊符号(!/$/#/%/_)，杜绝用户设置常见弱密码(如123456、qwert等有特殊规律的密码);
1. 检查用户点击退出登陆后，cookie 是否已销毁：点击退出，再使用退出之前的cookie，应该无法再进入系统。
2.点击退出后应销毁服务端认证session，使用户端cookie在退出登录后失效；
1.上传功能文件后缀应使用白名单限制为业务需要的文件类型，如上传图片功能点只允许上传png、jpg、bmp等常见格式、上传文档则只允许pdf、doc、xls等常见文档格式，且格式需要前后端同时校验；
2.要求使用公司统一的文件存储系统，如，请勿从应用服务器上直接上传、下载文件。
3.无法使用统一存储时，应限制上传目录的权限，不允许赋予上传目录和上传的文件执行权限；
1.下载目录应被限定在固定目录内，不允许被../../等路径操作跨目录访问其他文件；
2.敏感资源应设置访问控制权限，只允许拥有授权的角色下载；
3.要求使用公司统一的文件存储系统，如，请勿从应用服务器上直接上传、下载文件。
1.应使用白名单限定允许调用的URL，特别针对内网的请求应严格限定具体的域名或者IP
使用CORS跨域时，CORS安全配置：
1.应设置Access-Control-Allow-Origin及Origin白名单域名；
2.只有需要携带Cookie时，才允许设置Access-Control-Allow-Credentials头，且Origin白名单必须精细化设置，不允许如 *.baidu.com 的模糊配置。
JSONP接口：
1.必须使用白名单严格限制请求来源referer；
1.应使用白名单限定允许调用的系统命令；
1.应使用白名单限制请求来源referer或增加token等机制验证请求发起者身份；
2.对敏感资源进行操作时，应在服务端校验资源标识归属人是否与当前登录人一致；
3.敏感操作接口如订单支付等，应使用悲观锁或乐观锁保证事务的ACID特性，解决并发竞争问题；
4.操作数据库资源时，严格使用SQL语句预编译处理，禁止使用SQL拼接；
5.应记录应用操作日志；
1.除无需登录即可查看内容的链接，其他接口、链接地址均需校验当前用户是否登录；可尝试退出后再次访问接口地址进行测试。
2.涉及到数据增删改查时，均需校验当前用户操作的数据是否归属于当前用户或当前用户是否有权限操作；可尝试对于同一请求，替换用户cookie进行测试，或者使用两个不同的账号访问同一地址进行测试。
数据展示：
1.应在前端对敏感字段（如手机号、身份证、银行卡号）脱敏展示，可参考--数据脱敏技术要求；
2.前端界面增加数字水印，可参考：重要系统加明水印：
数据传输：
1.外网系统应使用https传输数据；
2.敏感字段应脱敏/加密处理；
数据使用：
1.每次数据访问都应到服务端鉴权，接入UIM参考研发接入指南
2.敏感数据操作（订运单数据、交易数据、商密数据等）都应日志打点，可参考：02业务系统接入流程（
3.识别数据使用情况，需安装权管SDK
4.订运单用户类数据禁止精准查询或批量下载；
数据存储：
1.日志中不应包含明文或未脱敏敏感数据；
2.敏感数据应加密存储，优先使用ACES加密系统，可参考敏感数据加解密服务
3.配置文件 important.properties应加密
工业物联网安全网关 —— 轻量级MQTT-TLS协议栈
qq_42568323的博客
04-18 585
随着工业物联网（IIoT）的迅速发展，设备之间的数据传输、远程监控和控制正越来越依赖于轻量级协议。MQTT作为一种低带宽、低延迟的轻量消息传输协议被广泛应用于工业物联网领域；而TLS（传输层安全协议）则为数据传输提供了可靠的加密保护。工业应用中要求协议栈具有低内存占用、快速响应以及高安全性，这促使我们设计一款“轻量级MQTT-TLS协议栈”，以实现设备间的安全通信并确保数据在互联网络中的传输不被窃取或篡改。
桌面计算机安全基线库,安全配置基线 – 操作系统类 – Windows 10(示例代码)
weixin_32953571的博客
06-23 901
安全配置基线 – 操作系统类Microsoft Windows 10桌面操作系统 V1.0本文档针对安装运行Microsoft Windows 10桌面操作系统的终端计算机所应当遵循的通用基本安全设置要求提供了参考建议，用于安装配置 Windows 10操作系统过程中进行安全配置合规性自查，以及实施安全评估或安全加固时提供标准依据与操作指导。目录一、 账户管理... 21.1...
浅议代码安全检测
软件安全，天下无贼
06-28 2453
二进制代码安全如何测试
代码自查的总结
weixin_34204722的博客
11-16 597
代码自查的总结 很多人代码一些完，马上开始Make, 殊不知他错过了一次很好的机会。这个机会就是代码自查，它的目的不仅仅是为了发现程序的错误，更是为了认识到自己编程习惯的局限和盲点，从而在下次进行有效地改进。因为，人自己发现自己的错误并修改的过程，是一种自愈和自我免疫的过程。 1. 前提 满足了下面的前提，就可以开始代码自查： 项目需求已经确定，有可...
WEB代码安全检查工具
john66的专栏
08-13 947
<br /><br /> 代码安全检查工具<br /><br /> SDL4.1  安全开发生命周期<br /><br /><br /> 1.跨站脚本攻击的ms检测工具<br /> AntiXSS<br /> XSSDetect 检测跨站点的脚本编写漏洞<br /><br /> 2.sql脚本攻击<br />   SQLPowerInjector<br /><br /><br /> 3.MSF-Agile plus Security Development Lifecycle Process
面试之 代码问题自查
yz18931904的博客
05-28 285
一、安装并使用CheckStyle （一）安装 （1） 首先从官网上下载net.sf.eclipsecs-updatesite_6.5.0.201504121610-bin 并解压chekstyle中的文件。 （2）然后解压checkstyle文件中的压缩文件，将里面的两个文件夹plugins和features下面的文件分别拷贝到eclipse目录下面对应的plugins和features目录，重启eclipse。 （3）Eclipse中，选择Windows->Pr...
java怎么检测代码安全_JAVA代码安全检测 | 学步园
weixin_29568097的博客
02-25 335
虽然客户仍然很关心您为他们构建的应用程序的可伸缩性和可用性，但他们可能变得也很关心安全性，而且要求特别严格。应用程序可能容易受到两类安全性威胁的攻击：静态和动态。虽然开发人员不能完全控制动态威胁，但在开发应用程序时，您可以采取一些预防措施来消除静态威胁。本文概括并解释了 13 种类型的静态暴露 ― 它们是系统中的缺陷，它使系统暴露在想要篡夺该系统的特权的攻击者面前。您将学会如何处理这些暴露，以及如...
三甲医院等级评审八维数据分析应用（六）--数据安全与隐私保护篇
最新发布
AllenLV的博客
01-06 2009
三甲医院等级评审是一套全面且严谨的医院综合实力评定体系，涵盖医疗服务、医疗技术、医院管理、人才队伍等多维度内容。其评审标准依据国家卫生健康委颁布的相关文件及细则执行，以确保评定的权威性与科学性。从医疗服务维度看，包括门诊服务流程优化、住院患者诊疗服务质量提升、患者出院随访制度落实等方面。门诊服务要求预约诊疗精准高效，分时段预约挂号精确到 30 分钟以内，现场挂号排队时间不超过 15 分钟；
网络安全自查与管理——信息系统运营单位指南
- **安全测评与整改**：投入资金进行安全检测、风险评估和整改，包括恶意代码扫描、渗透测试等，确保系统的安全状态。 - **管理制度**：制定并实施包括人员管理、机房管理、设备管理在内的多项管理制度，以保证...
安全开发生命周期
赤赤三的博客
03-12 5971
应用开发生命周期安全管理： 原理： 结合应用开发的需求、设计、开发、测试、上线、运维和废弃等生命周期的各阶段，定义安全目标和控制措施，结合评审、测试、培训等手段，保证开发系统的安全性 原因： 攻击内容发生了变化 病毒蠕虫 攻击OS、DB APT攻击社会工程学 攻击应用系统 攻击对象发生了变化 缺乏安全开发技能 运维阶段无法解决开发问题 应用程序代码问题（SQL注入、XSS） 应用系统安全设计失效（验证码绕过）
Java代码走查注意点
10-06
本文档描述了代码走查过程中的注意点。 本文档描述了代码走查过程中的注意点。
安全生产检查记录（Word模板、DOC格式）
12-09
安全生产检查记录（Word模板、DOC格式）对我们有很大的帮助，日常工作生活我们可能都会用到，需要安全生...该文档为安全生产检查记录（Word模板、DOC格式），是一份很不错的参考资料，具有较高参考价值，感兴趣的可以下载看看
信息科科室安全检查记录表（vba插入工作日记录）
06-02
代码很简单，需要启用宏，具体代码如下： Sub Workbook_Open() Range("A3:F25").ClearContents a = 3 monthDays = Day(DateSerial(Year(Date), Month(Date) + 1, 0)) For i = 1 To monthDays date1 = Year(Now()) & "-" & Month(Now()) & "-" & i If workDay(date1) = "○" Then Range("A" & a).Value = date1 Range("B" & a).Value = "李四" Range("C" & a).Value = "同前页" Range("D" & a).Value = "无异常" a = a + 1 End If Next End Sub '判断指定日期是否上班 Function workDay(rq) Dim cel As Range If Weekday(rq) = 1 Or Weekday(rq) = 7 Then temp = "休" For Each cel In Range("节假日表!B2:B17") a = DateDiff("d", cel.Value, rq) If a = 0 Then temp = "○" Exit For End If Next Else temp = "○" For Each cel In Range("节假日表!A2:A37") a = DateDiff("d", cel.Value, rq) If a = 0 Then temp = "休" Exit For End If Next End If workDay = temp End Function
专项安全检查记录表.doc
09-12
专项安全检查记录表.doc
代码安全检视方法有_安全检视的操作步骤及方法
weixin_42514654的博客
12-23 608
(1)前部及发动机1、牌照、灯具要求：完整无损；清晰有效；安装牢固。2、后视镜(完好、调整得当)3、散热器；无漏水，冷却水量充足4、润滑油：粘度正常、色清、无杂质(机油要求：①质量：色清、无杂质、粘度正常；②数量：在机油标尺刻度2/4-4/4间；5、高低线无松脱6、制动液液面高度正常7、蓄电池：清洁、无漏液、安装连接牢固。蓄电池要求：清洁、无漏液、安装连接牢固。液面高度高出极板10~15mm，通气...
安全代码审查
FreeXploiT
05-12 4288
安全代码审查发布日期： 1/21/2005 | 更新日期： 1/21/2005查看全部的安全性指导主题Microsoft Corporation本单元概要安全代码审查的重点是识别出可能引起安全问题和事故的不安全的编码技术和缺陷。虽然可能非常耗时，但是代码审查必须在项目开发周期中定期进行，因为在开发时修补安全缺陷的成本和工作量比以后（产品部署或者维护周期中）修补它们要小得多。本单元有助于审查使用 M
Java代码漏洞检测-常见漏洞与修复建议
baimao__Ch的博客
05-17 2245
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
代码常见错误与自查清单(一)
njpjsoftdev的博客
07-22 1229
作者：  苏鹏 、朴星海、戈峰、张雁 一 内存越界检查 1  字符串操作越界：strcpy( )和 sprintf (fullName, "%s%s", dir, fileName)，检查是否长度会超过缓冲区，建议采用strncpy。 2  字符串操作越界： 检查String对象substring(int beginIndex, int endIndex)函数beg
代码常见错误与自查清单(二)
njpjsoftdev的博客
07-22 897
五  ICE调用检查 1  请检查ICE调用设置了如下参数：        props.setProperty("Ice.CacheMessageBuffers", "0");     //内存参数                                                       //消息最大大小                                
畅捷通T+远程代码执行漏洞：紧急安全通告与防护措施
此通告是由奇安信CERT发布的关于畅捷通T+企业管理软件的一项重要安全警告。畅捷通T+是一款针对中小型工贸和商贸企业的财务管理、采购管理、库存管理等业务的一体化在线解决方案，它集成了社交化、移动化、物联网和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值