当前位置：首页 > news >正文

# 开发安全

news 2025/7/27 17:35:54

开发安全

文章目录

开发安全
- 安全开发生命周期
- 安全开发目标
- 安全开发基本准则
- 注入类攻击手段
- - Sql注入
  - 命令执行
  - 命令执行防御
  - 文件遍历
  - 防御
- 植入类安全漏洞防御
- - XSS（前端漏洞）
  - - 防御
  - 储存型XSS
  - 文件上传
  - - 防御
  - CSRF
  - - 防御
  - 会话固定
  - - 防御
- 其它类型安全漏洞
- - 越权访问
  - - 防御
  - 口令爆破
- 安全编码规范
- - 输入验证和数据净化
- 业务安全漏洞
- - 逻辑漏洞
  - - 逻辑混淆
    - 流程乱序
    - 数据重放
  - 规避方案
- 第三方安全
- - 缓解方案
- 如何安全的开发
- - 安全培训
  - 安全设计
  - 安全编码
  - 代码审查
  - 安全测试
  - 定期更新和补丁
  - 访问控制
  - 加密
  - 事件监控和响应
  - 持续改进
  - 事件监控和响应
  - 持续改进

开发安全是指在软件开发过程中注重安全性，采取措施防止恶意攻击和数据泄露。这包括对代码进行安全审查，使用安全编程实践和工具，以及定期进行安全漏洞扫描和修复。开发安全是确保软件系统在设计和实现阶段考虑到安全性，并且在运行时能够有效地保护系统和数据免受攻击和威胁的过程。

安全开发生命周期

需求分析阶段
设计阶段：考虑安全方面的设计
开发阶段：遵守编码安全规范、自动化测试工具
测试阶段：渗透测试
部署维护阶段：定期更新修复安全漏洞

安全开发目标

保护隐私
防止安全攻击漏洞
确保系统可用
遵守法律
维护品牌荣誉
节省成本资源

安全开发基本准则

安全优先
防御性编程：编写健壮的程序，能处理不良输入和异常输出
…

注入类攻击手段

Sql注入

改变sql语义

SELECT * FROM users WHERE username = '输入的用户名' AND password = '输入的密码';
# 如果攻击者在用户名字段中输入 ' OR '1'='1 ，那么SQL查询就会变成：
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '输入的密码';

SQL注入：预编译sql

命令执行

通过改变输入执行系统命令。调用cmd、ping等

命令执行防御

参数化传值，避免拼接用户输入
验证、过滤
最小权限原则

文件遍历

防御

路径规范化、验证过滤、白名单机制、最小权限规则
获取绝对路径getAbsolutePath()

植入类安全漏洞防御

XSS（前端漏洞）

Web页面插入恶意JS、钓鱼实现

防御

过滤验证（白名单）、设置http头部
输出的内容进行编码
使用安全的前端框架

储存型XSS

储存型Xss不会直接将恶意代码响应至前端浏览器进行渲染执行，先存储在数据库等介质中。
为了防止储存型XSS攻击，开发人员应该对用户输入进行适当的过滤和转义，以防止恶意脚本被存储和执行。最好的做法是采用内容安全策略（CSP）来限制页面加载的资源和脚本，以及对用户输入进行严格的验证和过滤。这样可以有效地防止储存型XSS攻击。