代码审计与金融行业的碰撞-董弘琛29页.pdfVIP

我是谁

姓名：董弘琛

ID：月白

90后白帽子，360网络安全专家，擅长渗透测试、

代码审计、脚本开发等相关安全技能。金融行业相

关安全服务经验丰富，希望能和各位师傅们交流学

习更多的知识。

同时也感谢我的领导、团队以及主办方对我的帮助

与支持。

先来聊聊代码审计

什么是代码审计？如何进行代码审计？

为什么要代码审计？

什么是代码审计

检查源代码中的安全缺陷，检查程序源代码是否存在

安全隐患，或者有编码不规范的地方，通过自动化工

具或者人工审查的方式，对程序源代码逐条进行检查

和分析，发现这些源代码缺陷引发的安全漏洞，并提

供代码修订措施和建议。

什么是代码审计

就是在代码中寻找安全隐患

如何寻找？什么隐患？

为什么代码审计

网络白盒安全测试风险

代码审计收益

如何代码审计

代码审计的基本流程

确认审计进行审计汇总并提供复测或

主体挖掘漏洞修复方案定期审计

确认系统使用的语结合使用自动化工对审计出的漏洞进代码并非一成不变，

言、框架、版本信具与人工审计，高行汇总，给出相应漏洞也一样，定期

息，开发文档等等。效而又细致的对系的修复方案并协助的代码审计同样重

对系统代码有清晰统进行审计。修复。要。

的认知。

代码审计中的难点

语言繁多，组合使代用码混乱，结构复杂

..\\..\\..\\App\\Common\\Conf\\db.php

Li5cXC4uXFwuLlxcQXBwXFxDb21tb25cXENvbmZcXGRiLnBocA

/xyhai.php?s/Templets/edit/fname/

Li5cXC4uXFwuLlxcQXBwXFxDb21tb25cXENvbmZcXGRiLnBocA

..\\..\\..\\App\\Common\\Conf\\config.php

Li5cXC4uXFwuLlxcQXBwXFxDb21tb25cXENvbmZcXGNvbmZpZy5waHA

/xyhai.php?s/Templets/edit/fname/

Li5cXC4uXFwuLlxcQXBwXFxDb21tb25cXENvbmZcXGNvbmZpZy5waHA

金融行业的安全背景

数字化进程的加快行业监管要求日益严格细化

由线下到线上的快速转变制度体系进一步完善

金融行业的安全风险

漏洞威胁黑客攻击频繁、漏洞越挖越快、零DAY频出

攻击威胁不讲武德，网络攻击组织化与全球化

代码本身代码产出时便埋下的隐患

金融行业的安全漏洞

SQL注入