中國石油天然氣股份有限公司應用系統開發安全管理通則(編輯修改稿)

　

【文章內容簡介】 繞過客戶端驗證。有了代理服務器，攻擊者可以在數據被客戶端“驗證”后修改數據（與“maninthemiddle”攻擊類似）。在實際的校驗中，輸入校驗首先定義一個有效（可接受）的字符集，然后檢查每個數據的字符是否在有效范圍內。如果輸入中包含無效的字符，應用程序應該返回錯誤頁面并說明輸入中包含無效字符。這樣進行驗證的原因是定義無效的字符集比較困難，并且一些不應該有效的字符通常不會被指出。另外，邊界檢查（例如字符串的最大長度）應該在字符有效性檢查以前進行。邊界分析可以防止大多數緩沖區溢出漏洞。必須提到的是從環境變量獲得的數據也需要進行驗證。同時避免在環境變量中存放敏感數據（例如密碼）。某些 Unix 系統（例如 FreeBSD）包含 ps 命令，可以讓用戶看到任何當前進程的環境變量，這常常會暴露保密性信息。 語句如果應用程序需要連接后端數據庫，使用存儲過程而不要在代碼中使用 SQL 語句。使用程序以外的嵌入在代碼中的 SQL 語句調用特別危險。難以防止攻擊者使用輸入域或者配置文件（由應用程序載入）來執行嵌入式的 SQL 攻擊。當然，輸入驗證有助于緩解這種風險。 (mented code)當應用程序在實際環境中開始應用時，應該刪除所有的注釋代碼。注釋代碼是用來調試或者測試的，它們不是最終應用程序的一部分。無論如何應該在實際的環境中刪除它們來避免意外的執行（一般注釋標識被刪除后就無法激活休眠的代碼，但還是存在可能性的，所以強烈建議執行這項工作）。所有為用戶顯示的錯誤信息都不應該暴露任何關于系統、網絡或應用程序的敏感信息。如果可能的話，最好使用包含編號的一般的錯誤信息，這種信息只有開發者和/或支持小組才能理解。一般的錯誤信息的例子是“發生了錯誤（代碼 1234） ，請您與系統維護部門聯系。 ” 內容對于 web 應用，不要在 URL 上暴露任何重要信息，例如密碼、服務器名稱、IP 地址或者文件系統路徑（暴露了 web 服務器的目錄結構） 。這些信息可以在攻擊時使用。例如下面就是一個不安全的 URL：rname=USERamp。password=PASSWORDamp。file=/home/USER/17 / 47 設置 PATH 變量設置 PATH 為一個已知的值，而不是僅僅使用啟動時的缺省值。攻擊者可以在攻擊應用程序時使用 PATH變量，例如試圖執行一個任意的程序。這些也可以應用于大多數其他的語言。 Perl 語言安全規范多年以來，Perl 已經成為用于系統管理和 Web CGI 開發的功能最強的編程語言之一（幾乎可以使用 Perl 做任何功能的程序）。但其擴展應用，即作為 Inter 上 CGI 的開發工具，使得它經常成為 web 服務器上的攻擊目標。另外，大多數 CGI 腳本有著比一般用戶更高的權限，導致它更容易受攻擊。下面列舉了一些開發者（特別是 CGI程序員）可以使用的主動的預防性的措施來增強 Perl 代碼的整體安全性（請注意：這不是 web 服務器 CGI 腳本安全性的指導原則）。 驗證Perl 版本 包含一個叫做 Taint Checking 的數據驗證措施。如果起用該功能，它就不允許通過用戶輸入（任何程序外的輸入）來操縱其他的外部程序（例如通過管道將數據導入另一個程序執行））。一般而言，程序員不能信任輸入腳本和程序的數據（叫做 Tainted數據 ），因為無法保證它不會產生危害（有意或者無意的）。Taint 驗證可以通過在命令行參數加入“T”來開啟。例如你可以在 Perl 腳本的第一行這樣加入“T”：!usr/bin/perl5 T Tainted 數據包括命令行參數、環境變量和來自文件的數據。引用 tainted 數據的變量也成為 tainted 數據。如果腳本試圖通過不安全的方式來使用 tainted 數據會產生一個致命錯誤（對這種情況稱為“不安全的依賴”(Insecure dependency)或者其他的說法）。啟用 tainted驗證在有些情況下會導致腳本停止運行，常常是由于Perl 解釋器要求所有腳本引用的外部程序的完全路徑必須在 PATH 環境變量中列出，同時 PATH 中包含的每個目錄除了目錄的所有者及相應的所有者用戶組外無法修改。Taint 驗證對于環境比較敏感，這就可能會導致大多數程序員不愿使用它，但是只要可能的話，應該使用 taint 驗證，特別是代碼執行其他程序功能時（例如在 CGI 腳本的情況下）。如果不但輸入數據不可信而且實際的代碼也不可信會產生什么情況？例如用戶從網站上下載了一個ActiveX 控件，而它實際是一個特洛伊木馬(Trojan horse)。這種情況下 taint 驗證就不起作用。安全模塊讓程序員可以在 Perl 腳本中將不同的代碼模塊與安全對象聯系。每個安全對象對于運行的每塊代碼建立了一個限制的環境。這與 chroot 在一個進程中只能在整體目錄結構的一個子目錄中運行類似。而 saft 對象限制 perl 代碼只能在 perl 包結構的某些特定包中運行。如何使用安全模式超出了本文的范圍，但是程序員應該在任何時候盡量使用這一功能。 (w)使用w 參數可以在 Perl 解釋腳本時顯示所有的警告信息。警告可以對以下情況產生：只使用了一次的變量或者完全沒有使用過得變量，未定義的文件句柄，未關閉的文件句柄，或者將非數值變量傳遞到數據變量。該功能不是針對安全處理的，但是可以有助于調試直接或者間接對安全有危害的錯誤。一般推薦總是使用w 參數。可以在 taint 驗證時在第一行這樣使用 w 參數：!usr/bin/perl5 Tw Java 語言安全規范自從 1995 年發布以來，Java 成為簡單或者復雜網絡應用的有效編程語言。它在設計時充分考慮了安全問題，因此它具有的限制特征有：收集不再使用的內存碎片的垃圾收集器，嚴格的“sandbox”安全模型，以及在特定主機上限制應用程序的活動的安全管理器。下面的使用中相關的規范：19 / 47 不要在標準輸出上打印消息在實際的 Inter 系統中避免使用 ()或者 ()打印日志和錯誤消息，原因是當消息打印到標準輸出時，無法立即確定消息發生的地點。而且它有可能將敏感信息透露給攻擊者。 封裝Java 中，如果沒有使用訪問標識符(access modifier(private、protected 或者 public))來聲明類、方法和屬性，那么它的默認訪問范圍是包，并且同一包中的所有類都能訪問它。必須記住雖然包有封裝功能，但它只有在每部分加載到包的代碼都由授權用戶控制時才起作用。惡意的用戶可以加入他們自己的類，從而對于包中的所有類、方法和屬性都有完全的訪問權限。Java 的政策文件支持兩種控制包訪問權限的前綴。accessClassInPackage defineClassInPackage 所有標準庫中的類都默認是可以公共訪問的（除了由“sun”開頭的類）。為了保證一個包的安全性，必須修改${JAVA HOME}/jre/lib/security 文件夾中的 文件。該文件中的重要行是：=sun.雖然該方法有作用，但是也有問題。例如程序員在 文件中定義包的安全時必須十分小心。在 中的值是字符型的，“sun.”將保護“”等包，但是不會對 “sun”或者“sunshine”等包進行保護。另一個方法是使用 JAR 密封(sealing) 。JAR(Java ARchive)文件是一些類的打包壓縮格式的文件，與常用的 ZIP 格式類似。如果從一個密封(sealing)的 JAR 文件中加載一個類時，隨后同一個包的類只能從該 JAR 文件加載。為了起用密封(sealing)，必須在建立 JAR 文件時這樣設置密封(seal)參數：Sealed: true 使用密封(sealing)的 JAR 文件比權限 (permission) 設置更好，因為它不需要安裝安全管理器(security manager)。Java 內建的安全管理器是對應用程序進行限制的一個方便的工具。很多情況下需要編制一個定制的安全管理器， 及以后的版本提供了 描述 設置的方法而不是 實施它們。 這是通過 Java 政策文件實現的。可以用政策文件以相對模塊化的方式控制文件系統和網絡的訪問。例如可以限制應用程序只能修改名字是 foo的文件。推薦使用 Java 政策文件和安全管理器而不是重新創建一個類或者系統來限制對主機和網絡的訪問。 C/C++ 語言安全規范C 本質上是不安全的編程語言。例如如果不謹慎使用的話，其大多數標準的字符串庫函數有可能被用來進行緩沖區攻擊或者格式字符串攻擊。但是，由于其靈活性、快速和相對容易掌握，它是一個廣泛使用的編程語言。下面是針對開發安全的 C 語言程序的一些規范。避免使用不執行邊界檢查的字符串函數，因為它們可能被用來進行緩沖區溢出攻擊。下面是應該避免使用的函數。同時，也列出了每個函數相應的比較安全的替換方式。? 不使用 strcpy()，使用 strncpy()? 不使用 strcat()，使用 strncat()? 不使用 sprintf()，使用 snprintf()? 不使用 gets()，使用 fgets()在上面的前三個中函數中，每個替代函數的“n”表示了使用的緩沖區的大小。最后一個函數的“f”，表示格式，它允許用戶指定期望的輸入的格式。這些替換方程強制程序員定義使用的緩沖區的尺寸以及確定輸入的類型。（ Format String Attack）該類攻擊往往與緩沖區溢出相關，因為它們往往主要利用了某些函數的假設，例如 sprintf()和 vsprintf()假設緩沖區的長度是無限的。然而即使使用 snprintf()替換sprintf()也無法完全保護程序不受格式化字符串的攻擊。這些攻擊通過直接將格式說明符（format specifiers）21 / 47(%d， %s，%n 等)傳遞到輸出函數接收緩沖區來進行。例如，以下的代碼就是不安全的：snprintf(buffer, sizeof(buffer), string) 這種情況下，可以在字符串中插入格式說明符來操縱內存的棧，來寫入攻擊者的數據（這些數據中包含小的程序代碼，并可由處理器接著執行）。 更多關于這些攻擊的具體內容請見資源章節。對以上的例子建議使用下面的代碼。snprintf(buffer, sizeof(buffer), “%s”, string) 進行格式字符串攻擊不太容易。首先攻擊者必須能獲得內存棧的內容情況（或者從應用導出或者使用調試器），然好必須知道如何精確訪問特定的內存空間來操縱棧中的變量。 執行外部程序推薦使用 exec()函數而不是 system()函數來執行外部程序。這是因為 system()接收整個命令行的隨機的緩沖區來執行程序。snprintf(buffer, sizeof(buffer), emacs %s, filename)。 system(buffer)。在以上的例子中，可以通過使用分號利用文件名變量在 sehll 中插入額外的命令（例如文件名可以是/etc/hosts。 rm *，這將在顯示/etc/hosts 目錄文