OWASPæµè¯æå
OWASPæµè¯æå
OWASPæµè¯æå
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
OWASP 代 码 检 测 指 南 — 代 码 检 测 指 南 与 测 试 指 南 配 合 使 用 时 效 果 最 佳 。 用 代 码 检 测 验 证 应 用 程 序 通 常 比 测 试 要 更 节<br />
约 成 本 。 你 需 要 为 你 正 在 工 作 的 应 用 安 全 选 择 一 个 最 有 效 率 的 信 道 。<br />
总 的 来 讲 ,OWASP 指 南 是 创 建 和 维 持 安 全 应 用 中 一 个 伟 大 的 起 步 。OWASP 强 烈 建 议 你 能 将 这 些 手 册 作 为 应 用 安 全<br />
测 试 的 一 部 分 。<br />
为 什 幺 选 择 OWASP<br />
写 成 一 本 这 样 的 指 南 是 艰 巨 的 工 作 , 因 为 它 汇 集 了 数 百 位 世 界 各 地 的 专 家 的 专 业 技 能 。 测 试 安 全 漏 洞 有 许 多 不 同 的<br />
方 式 , 但 是 这 本 指 南 却 在 怎 样 快 捷 、 准 确 、 有 效 地 测 试 方 面 获 得 了 权 威 人 士 的 一 致 同 意 。<br />
这 本 指 南 完 全 免 费 地 向 公 众 开 放 十 分 重 要 。 安 全 问 题 不 应 该 是 躲 在 暗 处 , 以 至 于 只 有 少 数 人 能 操 作 。 许 多 现 有 的 安<br />
全 指 南 只 是 详 细 地 阐 述 了 问 题 的 严 重 性 , 但 并 没 有 提 供 足 够 的 信 息 来 让 人 们 找 到 、 诊 断 或 者 解 决 安 全 问 题 。 创 建 这<br />
本 指 南 的 目 的 是 使 需 要 它 的 人 能 掌 握 这 些 专 业 知 识 。<br />
这 本 指 南 必 须 能 在 开 发 者 和 软 件 测 试 者 中 推 广 起 来 。 全 世 界 似 乎 没 有 足 够 的 应 用 安 全 专 家 来 对 所 有 问 题 做 重 要 批<br />
示 。 应 用 安 全 最 开 始 的 责 任 肯 定 是 落 在 软 件 开 发 者 的 肩 上 。 如 果 开 发 者 没 有 测 试 他 的 软 件 的 话 , 软 件 中 没 有 安 全 代<br />
码 也 并 不 奇 怪 。<br />
保 证 信 息 及 时 更 新 是 这 本 指 南 至 关 重 要 的 方 面 。 通 过 采 用 Wiki 方 式 ,OWASP 团 队 能 逐 渐 发 展 和 扩 大 这 本 指 南 中 的<br />
信 息 , 这 样 才 能 跟 上 应 用 安 全 威 胁 快 速 发 展 的 步 伐 。<br />
注 :Wiki 是 一 种 在 网 络 上 开 放 、 可 供 多 人 协 同 创 作 的 超 文 本 系 统 , 由 「Wiki 之 父 」 沃 德 · 坎 宁 安 (Ward<br />
Cunningham) 于 1995 年 所 创 。<br />
优 先 级<br />
你 最 好 将 这 份 指 南 看 作 是 一 系 列 寻 找 不 同 类 型 安 全 漏 洞 的 技 术 指 引 。 但 并 不 是 所 有 的 技 术 都 是 同 等 重 要 的 , 请 不 要<br />
将 这 本 指 南 当 成 一 本 核 对 清 单 来 使 用 。<br />
应 用 安 全 测 试 最 重 要 的 方 面 可 能 就 是 让 你 时 刻 牢 记 你 必 须 在 有 限 的 时 间 内 尽 可 能 多 地 覆 盖 应 用 程 序 的 各 个 方 面 。 郑<br />
重 提 醒 : 请 不 要 简 单 的 看 几 眼 这 本 书 就 开 始 测 试 , 理 想 的 做 法 是 : 通 过 建 立 一 些 安 全 威 胁 模 型 来 决 定 你 的 公 司 最 关<br />
心 的 安 全 问 题 是 什 幺 。 你 最 终 应 该 拥 有 一 张 包 含 优 先 次 序 的 待 测 试 的 安 全 清 单 。<br />
下 一 个 步 骤 你 应 该 决 定 如 何 验 证 这 些 要 求 。 有 很 多 不 同 的 选 择 : 你 可 以 使 用 手 动 测 试 或 者 手 动 代 码 检 测 ; 你 也 可 以<br />
使 用 自 动 化 的 漏 洞 扫 描 或 自 动 化 的 代 码 扫 描 ( 静 态 分 析 ); 你 甚 至 可 以 使 用 与 开 发 者 和 架 构 师 共 同 检 测 或 讨 论 安 全<br />
架 构 的 方 法 。 最 重 要 的 是 判 断 并 选 择 一 种 能 够 最 准 确 、 最 高 效 地 对 特 定 应 用 程 序 进 行 检 测 的 技 术 。<br />
自 动 化 工 具 的 作 用<br />
自 动 化 检 测 方 法 是 吸 引 人 的 。 因 为 他 们 似 乎 提 供 了 一 种 短 时 间 进 行 合 理 覆 盖 的 检 测 手 段 。 但 是 在 应 用 安 全 中 这 些 假<br />
设 远 远 没 有 在 网 络 安 全 中 真 实 。<br />
8