北京市北海公园代码审计报告.doc

北京市北海公园网站 代码审核报告 北京数字证书认证中心 2010-09-16  系统名称 北京市北海公园网站系统 测试类别 白盒测试 委托日期 委托单位 北京市公园管理中心 联系地址 委托人 联系电话 检测时间 2010年9月16日--2010年9月22日 测评结论 注： 因公园管理中心网站上线时间需要，目前只对威胁较大的全部高等风险，和部分威胁较大的中等风险在报告中进行体现。 根据问题组件的严重程度和暴露程度，分为高，中，低三个安全级别，共发现高危漏洞30个，部分风险较大的中等风险漏洞5个，合计发行问题共35个。 漏洞的详细分析请见标题2中（代码审计详解） 安全中心攻防实验室 20010年9月25日 批 准： 审 核： 编 制： 目 录 1. 情况 4 1.1. 测试对象 4 1.2. 测试目的 4 1.3. 测试流程 4 1.3.1. 环境的搭建和基本信息的收集 5 1.3.2. 代码的工具测试和人工检查 5 1.3.3. 代码安全整改方案和报告的撰写 6 1.4. 风险等级 6 1.5. 测试组织 7 1.6. 测试原则 7 2. 代码审计情况 8 2.1. 系统基本情况 8 2.2. 代码审计结果 8 2.3. 代码审计详解 9 2.3.1. 北京紫竹院公园网站系统 9 . SQL Injection (高) 9 . 密码管理：密码的配置文件中以明文显示(高) 20 . 配置文件：使用过高权限的数据库用户(高) 21 . 经常被误用：文件上传 (高) 22 . Header Manipulation: Cookies (高) 24 . Cookie 安全：Cookie 没有通过SSL发送(高) 28 . ASP.NET 错误配置: Debug 选项打开(中) 29 . ASP.NET配置错误：缺少错误处理 (中) 31 . 信任边界冲突(中) 32 0. Header Manipulation (中) 34 情况 测试对象 本次测试是针对北京市北海公园网站系统进行代码审计安全检测。 测试目的 北京市公园管理中心委托北京数字证书认证中心对北京市北海公园网站进行源代码安全审查。通过使用源代码安全审查工具对系统进行扫描和后期的人工分析审计相结合，发现并分析系统在软件设计和编码实现过程中存在的软件安全问题，并针对这些问题提出改进建议。 测试流程 主要流程如图所示： 环境的搭建和基本信息的收集 基本信息的收集 开发环境信息 开发语言以及版本 使用的第三方框架技术以及具体版本 使用的第三方组件以及具体版本 使用的编译器以及具体版本，编译器配置参数 使用的数据库类型以及具体版本，使用到系统的存储过程，函数，包信息 使用的安全验证机制 开发人员的编码规范 使用的测试工具以及具体版本，测试用例 提供应用系统相关使用说明文档 环境的搭建 开发商协助搭建完整的开发和测试环境，并提供相关测试数据和部署文档 。 开发商协调相关接口人员，做好后期审核过程中的交流工作 。 代码的工具测试和人工检查 确定测试范围 根据前一阶段获取的基本信息和业务需求，划定代码审计边界和深度。确定代码审计安全策略。 代码的工具测试 导入应用系统源码到测试环境 按预定代码安全策略对应用系统源码进行审计 过滤代码审计结果 将安全漏洞进行分组（按漏洞类型，按功能模块） 人工检查 根据工具测试的结果进行分析，撰写相应的测试代码结合人工检查找出工具发现的安全漏洞中不确定和存在误报的漏洞 确认问题代码覆盖的范围，深入分析发现的安全漏洞 分析漏洞在当前系统中的严重等级（也可按不同的安全标准如：OWASP,PCI等） 分析代码引用的资源文件。 代码安全整改方案和报告的撰写 撰写代码安全漏洞整改方案 分析代码引用的资源文件根据前面发现代码漏洞，撰写代码安全漏洞整改方案 测试代码安全漏洞整改方案的有效性 报告的撰写 将整改代码审计过程，代码审计测试边界范围和对象，发现安全漏洞，安全整改建议等信息撰写“北京公园管理中心应用系统代码审计服务方案”。 风险等级 风险等级划分标准如下： 风险等级 等级划分依据 高风险 可通过漏洞，获得管理员权限，完全控制机器和应用系统；利用该漏洞能够实现文件上传建立目录，从中获取大量的数据库表结构信息或利用该漏洞发起的攻击直接引起应用系统服务器故障、响应异常或资金损失。或者导致访问该网站的用户信息外泄的。 中风险 可通过漏洞，获取部分访问权限，造成内存泄露，利用该漏洞能够实现提取应用系统上相关信息，下载文件，但暂时无法实现文件上传或者建立目录。利用该漏洞攻击间接影响应用系统运行