導航：安全管理網>> 安全管理>> 行業安全>> 其它行業>>正文

從木桶理論看第三方組件安全

		點擊數：	更新時間： 2021年12月06日
下載地址：點擊這里	文件大小： 1007.43 KB 共2頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：1007.43 KB 共2頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：析食品檢驗對肉制品安全重要性

上一篇：淺談食品中毒及防范措施

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

安全咖啡屋
計算機與網絡創新生活
從木桶理論看第蘭方組件安全
木桶能盛多少水取決于最短
的那塊板有多長，我實在找不出比
這更形象的比喻來形容應用程序
安全。
安全意識
很早以前，人們寫代碼的時候
幾乎不關心安全問題，后來隨著黑
客(這里主要指不懷好意的破壞
者、惡作劇者等)的出現，對計算機
系統、個人、企業公司等造成了巨
大破壞和財產損失，于是人們逐漸
將目光投向安全領域，不斷關注安
全問題。例如幾年前泛濫得一塌糊
涂的sQL注入漏洞，雖然現在依然
存在，但是和以往比較起來已經大
有好轉。在web領域里，跨站腳本
攻擊漏洞(xss)和跨站請求偽造漏
洞(csRF)也曾肆掠過我們的互聯
網，并且現在依然在owAsP T0p
10中排名前列，好在很多web框
架已經關注此類問題，從框架層面
上提供默認的安全防護支持。總的
來說，我們的安全意識在不斷加
強，軟件開發過程中的安全問題也
得到了更多的關注，但這并不夠。
木桶能盛多少水取決于最短
的那塊板有多長，我們的開發人員
有安全意識了，能主動避免開發過
程中出現安全漏洞，但是現如今一
個應用程序的80％的代碼來自于
第三方組件，就算我們能保證自己
開發的代碼沒有安全問題，又如何
有信心保證我們使用的這些第三
方組件沒有安全漏洞?
第三方組件通常擁有和自有
代碼同樣的運行權限，這意味著，
如果這些組件有安全漏洞，那么整
個應用程序的安全都會受到威脅。
這就好比你自己修房子，購買了一
大堆基礎建筑材料，這些材料個個
看上去都很結實，防盜門的鋼板有
1cnl厚，窗戶用的是防彈玻璃，并
且雇來專業建筑團隊修好了房子，
整體建造水平很不錯，但很不幸的
是，你購買的窗戶的鎖芯有問題，
并不能真正的鎖好，以至于小偷可
以通過翻窗的方式進入你的房子
實施盜竊。
忽視和誤解
既然第三方組件安全至關重
要，但是為什么還是有很多開發團
隊沒有重視這個問題呢?常見的原
因不外乎是：
沒有人意識到需要注意第三方
組件的安全問題
項目交付壓力大，沒有那么多
時間來研究第三方組件安全
第三方組件不是我們自己開發
的，它的安全問題不應該由我們負
責，而且出了安全問題我們也無能
為力，我們又不能修改他們的源代
碼，雖然這些原因看上去都挺合理
的，但其實是對第三方組件安全的
誤解。
既然現在的應用程序已經大量
使用第三方組件了，這些組件的安
全問題可以直接影響到應用程序
的安全，還有什么理由不關注第三
方組件的安全呢。而且，在剛剛發
布的2013版的owAsP Top 10當
中，第三方組件安全漏洞已經被列
為第9大應用程序安全漏洞。
項目確實是有交付壓力的，特
別是這種壓力大到不合理的時候，
開發團隊很容易對代碼質量進行
妥協，以此換取開發速度。例如抱
著僥幸心理，以為某些潛在的安全
問題不太可能被外界發現。團隊可
能會認為，雖然交付出去的產品有
一點缺陷，但總比交付失敗拿不到
合同款要好，然而這種以降低產品
質量換取一時的利益是飲鴆止渴。
安全也是產品質量的一部分，如果
團隊堅持追求高質量的產品，就應
該投入足夠的資源關注第三方組
件安全。
雖然第三方組件的安全不應該
由使用它的開發團隊來負責，特別
是對于一些非開源的第三方組件
而言，看上去開發團隊確實無能為
力，但是就算這樣也不能坐以待
斃，其實還是有很多事可以做的，
具體可參見下一小節。
應對建議
第三方組件安全應該得到有效
的管理，推薦開發團隊采取下列應
對措施：
培養開發團隊甚至整個企業公
司的安全意識。有些事情真的是安
全意識問題，有時候一個簡單的舉
動就能避免更大的安全問題，舉個
例子，停車離開時，絕大多數人都
記得鎖車門，然而鮮有人在鎖車后
會再伸手拉一下車門以確認真正
已經鎖好了。已經有無數新聞報道
過，一些不法分子專門干擾汽車中
控鎖，讓車主以為鎖好了車門，待
其離開后行竊，這正是利用了人們
在鎖車時沒有太強安全意識的漏
洞。試想，如果車主在鎖車后再隨
手拉～下車門，舉手之勞間就能避
免自己的財物被盜。
培養安全意識是最容易的，也
是最難的。容易在于人們的安全意
識可以很容易被喚起，難在又很容
易被人們遺忘。開發團隊需要一個
持續的過程，以保證人們能對第三
方組件安全時刻保持警惕。
經常更新第三方組件的版本。
開發團隊為了保持應用程序的穩
定性，很少更新第三方組件版本，
尤其是一些核心基礎組件。一般來
講，舊版本中的安全漏洞大多會在
新版本里被修復，如果開發團隊不
能及時更新至新版本，自己的應用
程序很有可能會受到連累。所以經
萬《方計數算據機與網絡》2013年第14期
安全咖啡屋
計算機與網絡創新生活■巨業l刪啊罨強蝴】l雷q
L w如嘲木馬艨爹j努析與對策
據有關報道指出，某政府網站上傳webshen到網站任意可寫目錄詢輸出php文件，因為所有的數據
被黑后，有關安全檢測技術人員在中，從而拿到網站的管理員控制權是存放在mysql里的，所以黑客可以
經過詳細排查后，確認是websheu 限： 通過正常手段把webshen代碼插入
木馬后門。更值得警惕的是黑客對黑客私自添加修改上傳類型： mysql在利用sELEcT?訪To
木馬文件的代碼進行了加密，由此現在很多腳本程序上傳模塊不是只oUTFILE語句導出sheu。
繞過了web防火墻和防病毒軟件允許上傳合法文件類型，實際上大3．wbsheu的隱蔽性
的查殺，并且木馬文件建立的時間多數的系統是允許添加上傳類型，wbsheu有些惡意網頁腳本可以
在架設安全設備之前，甚至有若干由此很容易被黑客利用： 嵌套在正常網頁中運行，因此不容
木馬文件一年前就已經存在。黑客利用wEB系統后臺管理易被查殺。由于與被黑客控制的唧
1．websheⅡ的概念和危害性功能寫入websheu：黑客進入wEB 系統服務器或黑客遠程主機交換的
webshen就是以aSP、php、．isp或系統后臺。數據都是通過80端口傳遞的，因此
者cgi等網頁文件形式存在的一種例如網站后臺后還可以通過修msheu不會被防火墻攔截。同時，
命令執行環境，也可以稱為一種網改相關文件來寫入websheⅡ； 使用wbsheⅡ一般不會在系統日志
頁后門。黑客在入侵網站后，通常黑客利用后臺管理工具向配置中留下記錄，只會在網站的web日
會將websheu后門文件與網站服務文件寫入websheⅡ； 志中留下一些數據提交記錄，很難
器wEB目錄下正常的網頁文件混黑客利用后臺數據庫備份及恢發現入侵痕跡。
在一起，然后就可以使用瀏覽器來復功能獲得websheⅡ：主要是利用后4．如何進行加固和防范
訪問這些后門，得到命令執行環臺對access數據庫的“備份數據庫” 對邱進行權限設置，取消匿名
境，以達到控制網站或者wEB系或“恢復數據庫”功能，“備份的數據訪問。
統服務器的目的(可以上傳下載文庫路徑”等變量沒有過濾導致可以對目錄進行權限設置，不同網
件、查看數據庫、執行任意程序命把任意文件后綴改為asp，從而得到站使用不同的用戶權限。
令等)。webshen； 對系統盤的敏感目錄及文件進
2．黑客部署websheu木馬后門黑客利用后臺nIySql數據查詢行權限設置，提高系統安全性。
的幾種途徑功能獲得礬sheu：后臺只要有mysql 定期更新服務器補丁，定期更
黑客直接上傳websheⅡ：因過濾數據查詢功能，黑客就可以利用它新殺毒軟件。
上傳文件不嚴，導致黑客可以直接執行sELEcT?in To ouTFILE查(x023)
常的，及時的更新組件版本是非常查詢，確認這些第三方組件的安全對即將采用的新組件進行安全
有必要的。漏洞情況；然后，對有安全漏洞的檢測、驗證在cI上部署第三方組
更換有安全漏洞的第三方組第三方組件進行更新或者更換，如件安全監測機制，若應用產品使用
件。某些第三方組件可能已經停止有必要，還需要采取一些措施自己了有漏洞的第三方組件，則不允許
開發，或者缺少維護，出現安全漏修復安全漏洞。由于被使用到的第通過構建。
洞后也得不到及時的修復，這種情三方組件較多，并且建立清單，查總結
況下開發團隊應該考慮更換更安詢漏洞的過程也需要重復的持續第三方組件安全問題勢必會得
全的第三方組件。的進行，所以建議開發團隊將其自到越來越多的關注。開發團隊需要
第三方組件被大量使用，它們動化以提高效率，減輕團隊負擔。提升安全意識，建立第三方組件安
的安全情況需要得到有效的監控。應對第三方組件安全問題，再全監控機制，并輔以其他各種措施
首先，開發團隊需要建立一份清多的安全措施也不嫌多，開發團隊才能保證應用程序的安全。
單，記錄下應用程序使用了的所有除了可以采取上面提到的措施之木桶能盛多少水取決于最短的
的第三方組件；接下來，在安全漏外，還推薦采取下列措施： 那塊板有多長。重視第三方組件安
洞數據庫(例如cvE，r、n，D)里進行建立安全規范全，刻不容緩。(web應用安全實驗室)
／
萬方數據 2013年第14期《計算機與網絡》

網友評論 more

其它行業最新內容

04-29