Web应用安全通用评估准则

Web应用安全通用评估准则1、鉴另U(Authentication)最佳实践鉴别机制应防止无凭证用户的非法访问应用程序功能，通过禁止恶意口令猜测尝试来防止暴力破解常见问题登入过程绕过；自动登录脚本；身份变化；……2、授权(Authorization)最佳实践授权机制应防止用户访问其他用户的数据或防止非授权使用应用程序功能常见问题隐藏的或可猜测的特权功能；A用户可读/修改B用户的数据；GET/POST参数模糊 3、用户输入验证(User'sInputSanitization)最佳实践所有的用户输入数据应该进行检查和验证。边界检查可用于防止缓冲区欲出/变量赋值违规。语法检查应强制实施以防止数据编码，数据注入，格式化字符串攻击，冋时拒绝输入禁止的字符等。利用用户可控输入所产生的输出数据必须经过适当的格式化以避免通用应用进行客户端脚本注入。常见问题半数溢出；JavaScript注入，SQL注入；跨站脚本；服务器端文件包含……4、错误输出和信息泄漏(ErrorHandlingandInformationleakage)最佳实践应用程序应限制可提供详细系统信息或业务逻帮助等信息的错误消息，以内这些消息可帮助攻击者危及系统；常见问题SQL冗余错误消息，并存在后台数据库结构信息的泄露；提示性的错误消息，详细给出文件系统路径信息；当帐户或口令出错的登录进程通知信息；服务器旗帜标及发布版本泄露，•….5、口令/PIN码的复杂性(Password/PINComplexity)最佳实践用户认证的长度和复杂性要求进行强制以防止口令和PINs的暴力破解常见问题4个数字的口令，常见帐号（如demo/demo或admin/admin）；缺省安装口令，……

6、用户数据保密性(User'sdataconfidentiality)最佳实践应用程序应用在整个数据流的生命周期中维护用户数据的隐私和机密性。应用程序应确保敏感数据（如口令， PIN吗或MSISDN）不被存储在Web服务器或者逆向代理日志文件中，或以非加密形式驻留于cookies或浏览器的缓存数据中。应正确地实现授权以保证应用程序用户不能查看到其他用户的敏感信息。常见问题信用卡号和CCV2码被存储，而口令明文形式出现在日志文件中；系统管理员可以读取其他用户的口令；日志文件可被非授权人员访问7、会话机制(Sessionmechanism最佳实践会话管理应依赖于强壮的机制和会话标识。会话标识，如cookie或会话ID,应难以预测常见问题被偷窃的会话cookie可以在其他IP地址的计算机上再次使用，通过模糊参数恶意地实现身份交换。8、补丁管理(Patchmanagement)最佳实践所有暴露的和启用Web应用组件（如Web应用框架，反向代理，模块，……）必须更新到最新最稳定的版本，特别要关注最新的紧急安全补丁和出现漏洞攻击工具的补丁。常见问题未安装可被利用的脆弱性的补丁，而攻击程序已存在。9、管理员接口(Administrationinterfaces最佳实践管理功能应从应用程序的其他部分隔离出来。只有授权的用户被允许使用应用程序的管理功能。常见问题常见管理URLs；管理功能可以从主应用进行调用，……10、通信安全(Communicationsecurity)最佳实践敏感信息的通信传输应进行加密以防止为授权的搭线窃听，从而保证数据的完整性。常见问题口令仅使用Base64编码就进行传输；在传输logon/password或其他机密信息时，未使用HTTPS协议，......

11、第二方服务暴露最佳实践任何缺省安装部署的第三方依赖或其他服务应严格审计，以确保它们不会危及其所支持的产品或应用的安全。应有网络级的访问控