通用安全编码规范.docxVIP

天翼电子商务

信息技术部

【】通用平安编码标准

文档编号：BESTPAY-DMAQ-05

Version1.0

必威体育官网网址申明本文档版权由

必威体育官网网址申明

本文档版权由天翼电子商务信息技术部所有。未经天翼电子商务信息技术部书面许可，任何单位和个人不得以任何形式摘抄、复制本文档的局部或全部，并以任何形式传播

目录

TOC\o1-3\h\z\u1 目的 4

2 范围 4

3 标准概述 4

4 平安编码的原那么 5

5 Web应用程序常见平安问题 5

5.1 跨站脚本攻击 6

定义 6

危害 6

解决方法 7

5.2 SQL注入 9

定义 9

危害 10

解决方法 10

5.3 恶意脚本执行 11

定义 11

危害 12

解决方法 12

5.4 文件上传漏洞 12

定义 12

危害 12

解决方案 12

5.5 传输敏感信息未使用平安通道 13

定义 13

危害 13

解决方案 13

5.6 信息泄漏和错误处理不当 13

定义 13

危害 14

解决方案 14

5.7 跨站请求伪造 15

定义 15

危害 15

代码例如 15

解决方案 16

5.8 访问控制缺陷 17

权限提升 17

不平安的直接对象引用 18

5.9 不平安的加密 20

定义 20

弱加密例如 21

解决方案 21

5.10 限制URL访问失效 21

定义 21

解决方案 22

5.11 Session管理 22

Cookieonlyflag 22

CookieSecureflag 23

SessionExpires 25

5.12 日志和监测 26

6 Web应用程序平安编码要点 26

6.1 SOCKET网络平安编程要求 26

6.2 平安认证要求 27

图片验证码 27

短信验证码 28

6.3 加密方法及强度要求 29

6.4 输入验证 31

什么是输入 31

如何处理输入 37

6.5 输出编码 42

输出编码的种类 42

输出编码的必要性 42

平安输出编码方式 42

7 翼支付常用Web框架平安 44

7.1 Struts2：Action字段没有验证器〔ActionFiledWithoutValidator〕 44

定义 44

危害 44

7.2 Struts2：有重复的Action字段验证器〔DuplicateActionFieldValidators〕 45

定义 45

危害 45

例如 45

7.3 Struts2：重复的验证文件〔DuplicateValidationFiles〕 45

定义 45

危害 46

7.4 Struts2：重复的验证器〔DuplicateValidators〕 46

定义 46

危害 46

7.5 Struts2：未声明验证器〔UndeclaredValidator〕 46

定义 46

危害 47

例如 47

7.6 Struts2：未经验证的Action〔UnvalidateAction〕 47

定义 47

危害 47

7.7 Struts2：验证文件无对应的Action〔ValidationFileWithoutAction〕 47

定义 47

7.8 Struts2：验证器无Action域〔ValidatorWithoutActionField〕 48

定义 48

7.9 SpringMVC的不良做法：请求参数绑定持久对象〔SpringMVCPractices：RequestParametersBoundintoPersistedObjects〕 48

定义 48

危害 48

例如： 48

8 附录 49

8.1 平安性测试_checklist 49

8.2 代码平安审计checklist 49

目的

为保障天翼电子商务〔以下简称“翼支付”〕支付平台的平安性，构建平安健壮的程序，结合翼支付Web平安遇到的问题以及启明星辰平安研究实验室在Web攻防及代码平安的理论