Web應用安全通用評估準則

Web應用安全通用評估準則1、鑒另U(Authentication)最佳實踐鑒別機制應防止無憑證用戶的非法訪問應用程序功能，通過禁止惡意口令猜測嘗試來防止暴力破解常見問題登入過程繞過；自動登錄腳本；身份變化；……2、授權(Authorization)最佳實踐授權機制應防止用戶訪問其他用戶的數(shù)據或防止非授權使用應用程序功能常見問題隱藏的或可猜測的特權功能；A用戶可讀/修改B用戶的數(shù)據；GET/POST參數(shù)模糊 3、用戶輸入驗證(User'sInputSanitization)最佳實踐所有的用戶輸入數(shù)據應該進行檢查和驗證。邊界檢查可用于防止緩沖區(qū)欲出/變量賦值違規(guī)。語法檢查應強制實施以防止數(shù)據編碼，數(shù)據注入，格式化字符串攻擊，冋時拒絕輸入禁止的字符等。利用用戶可控輸入所產生的輸出數(shù)據必須經過適當?shù)母袷交员苊馔ㄓ脩眠M行客戶端腳本注入。常見問題半數(shù)溢出；JavaScript注入，SQL注入；跨站腳本；服務器端文件包含……4、錯誤輸出和信息泄漏(ErrorHandlingandInformationleakage)最佳實踐應用程序應限制可提供詳細系統(tǒng)信息或業(yè)務邏幫助等信息的錯誤消息，以內這些消息可幫助攻擊者危及系統(tǒng)；常見問題SQL冗余錯誤消息，并存在后臺數(shù)據庫結構信息的泄露；提示性的錯誤消息，詳細給出文件系統(tǒng)路徑信息；當帳戶或口令出錯的登錄進程通知信息；服務器旗幟標及發(fā)布版本泄露，?….5、口令/PIN碼的復雜性(Password/PINComplexity)最佳實踐用戶認證的長度和復雜性要求進行強制以防止口令和PINs的暴力破解常見問題4個數(shù)字的口令，常見帳號（如demo/demo或admin/admin）；缺省安裝口令，……

6、用戶數(shù)據保密性(User'sdataconfidentiality)最佳實踐應用程序應用在整個數(shù)據流的生命周期中維護用戶數(shù)據的隱私和機密性。應用程序應確保敏感數(shù)據（如口令， PIN嗎或MSISDN）不被存儲在Web服務器或者逆向代理日志文件中，或以非加密形式駐留于cookies或瀏覽器的緩存數(shù)據中。應正確地實現(xiàn)授權以保證應用程序用戶不能查看到其他用戶的敏感信息。常見問題信用卡號和CCV2碼被存儲，而口令明文形式出現(xiàn)在日志文件中；系統(tǒng)管理員可以讀取其他用戶的口令；日志文件可被非授權人員訪問7、會話機制(Sessionmechanism最佳實踐會話管理應依賴于強壯的機制和會話標識。會話標識，如cookie或會話ID,應難以預測常見問題被偷竊的會話cookie可以在其他IP地址的計算機上再次使用，通過模糊參數(shù)惡意地實現(xiàn)身份交換。8、補丁管理(Patchmanagement)最佳實踐所有暴露的和啟用Web應用組件（如Web應用框架，反向代理，模塊，……）必須更新到最新最穩(wěn)定的版本，特別要關注最新的緊急安全補丁和出現(xiàn)漏洞攻擊工具的補丁。常見問題未安裝可被利用的脆弱性的補丁，而攻擊程序已存在。9、管理員接口(Administrationinterfaces最佳實踐管理功能應從應用程序的其他部分隔離出來。只有授權的用戶被允許使用應用程序的管理功能。常見問題常見管理URLs；管理功能可以從主應用進行調用，……10、通信安全(Communicationsecurity)最佳實踐敏感信息的通信傳輸應進行加密以防止為授權的搭線竊聽，從而保證數(shù)據的完整性。常見問題口令僅使用Base64編碼就進行傳輸；在傳輸logon/password或其他機密信息時，未使用HTTPS協(xié)議，......

11、第二方服務暴露最佳實踐任何缺省安裝部署的第三方依賴或其他服務應嚴格審計，以確保它們不會危及其所支持的產品或應用的安全。應有網絡級的訪問控