信息安全體系描述

信息安全體系按照OSI 7層模型來劃分，其中包括物理層安全、數(shù)據(jù)鏈路層安全、網(wǎng)絡層安全、傳輸層安全、會話層安全、表示層安全、應用層安全。而應用層安全性則是業(yè)務數(shù)據(jù)實際落地的重要部分，是業(yè)務整體安全性對外的表現(xiàn)。所以應用層安全是高校信息安全重中之重。而對于高校信息安全而言，應用層安全大多體現(xiàn)在網(wǎng)站業(yè)務：主站、教務、一卡通、身份認證等web系統(tǒng)。另外存在少量的基于微信端的web業(yè)務和基于安卓或蘋果IOS操作系統(tǒng)的app應用。

高校應用層安全現(xiàn)狀

目前，從智圣安全團隊對已授權的高校應用進行安全審計（漏洞掃描、代碼審計、滲透測試等手段審計安全性）的結果看來，大多數(shù)高校應用層業(yè)務存在大量缺陷，如代碼邏輯、應用服務器（IIS Weblogic Apache Tomcat等）、開發(fā)框架等均有或輕或重的應用安全問題。

2.1-代碼缺陷

邏輯缺陷：未設計好的表單，邏輯設計錯誤，導致可以任意用戶更改統(tǒng)一身份認證點的認證，獲取全校師生賬號。

邏輯缺陷：越權行為，未對賬號權限和seesion信息綁定，學校學生可以越權使用教師功能權限，如教務系統(tǒng)。

邏輯缺陷和參數(shù)校驗缺陷：萬能密碼，利用sql注入行為和后端校驗邏輯缺陷繞過登錄，’or’a’=’a為恒等式邏輯?；蛘哳愃?rsquo;or’a’=’a’--,’or+len(‘a’)=len(‘b’)#等，密碼123456是數(shù)據(jù)庫查詢賬號閉合到表第一個賬號字段，弱密碼123456是此類特殊情況。

參數(shù)校驗缺陷：文件上傳，未對上傳文件進行判斷，可能導致用戶上傳應用服務器可解析的動態(tài)代碼，實現(xiàn)遠程代碼執(zhí)行，造成服務器RCE（遠程命令執(zhí)行）的webshell在后端留存，實現(xiàn)服務器完全控制。

上文中僅舉例幾處目前高校普遍存在的代碼缺陷，另外sql注入、XSS、信息泄露、配置失當導致的代碼問題不做過多贅述，在智圣軟件開發(fā)過程中，會全面規(guī)避。

2.2-應用服務器漏洞

IIS：應用服務器IIS版本較低，包含已知高危漏洞，可以進行遠程命令執(zhí)行等操作。

Weblogic：weblogic版本低導致的遠程反序列化命令執(zhí)行。

遠程服務器控制

2.3-框架漏洞

Struts、Struts2框架:目前已知的開發(fā)框架例如struts2、struts、spring等均有高危漏洞可以利用獲取服務器控制權限。

Spring框架：spring框架遠程命令執(zhí)行導致的服務器控制權限。

智圣軟件中心代碼設計規(guī)范

智圣軟件研發(fā)中心與智圣安全服務小組之間配合對安全代碼合規(guī)進行緊密聯(lián)系，以保證智圣軟件中心代碼安全性和業(yè)務應用安全性。流程如下所示：

3.1-安全開發(fā)設計

智圣安全服務團隊在軟件開發(fā)時融入開發(fā)團隊，制定安全開發(fā)標準，定期進行代碼安全培訓，在開發(fā)時規(guī)避各類安全問題。開發(fā)生命周期如下圖所示：

3.2-安全檢查

公司內(nèi)部檢查：智圣安全服務小組，在開發(fā)之后對開發(fā)業(yè)務進行黑白盒測試，檢查業(yè)務安全性，并提交協(xié)助整改。

真實上線后檢查：業(yè)務上線后，智圣安全團隊對業(yè)務系統(tǒng)進行壓力測試、滲透測試、漏洞掃描、代碼審計等實際環(huán)境檢查，確認安全性后，向客戶提交相應報告合規(guī)后再交付。

總結

智圣安全服務小組在保障高?？蛻舻臉I(yè)務安全同時，也合力配合軟件中心進行代碼安全開發(fā)，并實時追蹤最新漏洞保障及時第一時間修復智圣軟件產(chǎn)品安全隱患。智圣軟件部代碼規(guī)范性從自身代碼的編寫安全，到代碼容器應用服務器的使用安全版本、再到新型安全框架springMVC的使用，為高校師生創(chuàng)造出一個安全、穩(wěn)定的業(yè)務系統(tǒng)。