《白帽子講WEB安全》學習筆記之第1章 我的安全世界觀

標籤：安全 白帽子

第1章 我的安全世界觀1.1 web安全簡史1.1.1 中國駭客簡史

現在中國乃至全世界的駭客或者說是駭客已經進入了“黑暗時代”，因為互連網存在這大量的利益。

1.1.2 駭客技術的發展曆程1.1.3 web安全的興起

web安全是資訊安全領域的一個重要的分支，但是中國目前對web安全的重視程度遠遠不足。

為什麼要攻擊Web應用，我認為主要有以下幾個原因：

q  web應用無處不在。

q  相比較與作業系統等的安全防禦能力，攻破web更容易一些。

q  攻擊web可以來無影去無蹤，具有匿名性。

q  編寫web應用的人的水平和安全意識良莠不齊，漏洞很多。

q  Web應用安全技術不成熟。

q  最重要的是攻擊web應用會獲得金錢的等利益。

 

web的攻擊與防禦手段是在交替的發展。

1.2 黑帽子，白帽子

研究安全的人多了，世界就不再安全了。

1.3 返璞歸真，揭秘安全的本質

書中多次提到“安全的本質是信任問題”，但是我認為安全的本質是許可權問題。

1.4 破除迷信，沒有銀彈

安全技術是在攻與防中得到提升的。

1.5 安全三要素

書中只要講解了安全的基本三要素，但是安全不止是三要素。

可用性（Availability）：得到授權的實體在需要時可訪問資源和服務。可用性是指無論何時，只要使用者需要，資訊系統必須是可用的，也就是說資訊系統不能拒絕服務。網路最基本的功能是向使用者提供所需的資訊和通訊服務，而使用者的通訊要求是隨機的，多方面的（話音、資料、文字和映像等），有時還要求時效性。網路必須隨時滿足使用者通訊的要求。攻擊者通常採用佔用資源的手段阻礙授權者的工作。可以使用存取控制機制，阻止非授權使用者進入網路，從而保證網路系統的可用性。增強可用性還包括如何有效地避免因各種災害（戰爭、地震等）造成的系統失效。 完整性（Integrity）：資訊不被偶然或蓄意地刪除、修改、偽造、亂序、重放、插入等破壞的特性。只有得到允許的人才能修改實體或進程，並且能夠判別出實體或進程是否已被篡改。即資訊的內容不能為未授權的第三方修改。資訊在儲存或傳輸時不被修改、破壞，不出現資訊包的丟失、亂序等。 可靠性（Reliability）：可靠性是指系統在規定條件下和規定時間內、完成規定功能的機率。可靠性是網路安全最基本的要求之一，網路不可靠，事故不斷，也就談不上網路的安全。目前，對於網路可靠性的研究基本上偏重於硬體可靠性方面。研製高可靠性元器件裝置，採取合理的冗餘備份措施仍是最基本的可靠性對策，然而，有許多故障和事故，則與軟體可靠性、人員可靠性和環境可靠性有關。 保密性（Confidentiality）：保密性是指確保資訊不暴露給未授權的實體或進程。即資訊的內容不會被未授權的第三方所知。這裡所指的資訊不但包括國家秘密，而且包括各種社會團體、企業組織的工作秘密及商業秘密，個人的秘密和個人私密（如瀏覽習慣、購物習慣）。防止資訊失竊和泄露的保障技術稱為保密技術。 不可抵賴性（Non-Repudiation）：也稱作不可否認性。不可抵賴性是面向通訊雙方（人、實體或進程）資訊真實同一的安全要求，它包括收、發雙方均不可抵賴。一是源發證明，它提供給資訊接收者以證據，這將使寄件者謊稱未發送過這些資訊或者否認它的內容的企圖不能得逞；二是交付證明，它提供給資訊寄件者以證明這將使接收者謊稱未接收過這些資訊或者否認它的內容的企圖不能得逞。

 

1.6 如何實施安全評估1.6.1 資產等級劃分

價值越高需要的安全等級越高。資產等級的劃分依據——資源的價值。

在生產實踐中對於互連網而言資料的價值是最高的。

1.6.2 威脅分析

分析現有的制度或防禦措施，找出可能會造成威脅的漏洞。

1.6.3 風險分析

對找到的漏洞，按其發生機率、危害程度等進行排序，表示其優先順序。

1.6.4 設計安全方案

安全方案的設計依據是安全的評估，而不是沒有調研的想象。

安全與成本需要達到一個平衡。需要說明的是這裡的成本不僅僅是指金錢，還有業務的效率，業務的邏輯等。

一個好的安全方案，應符合使用者的使用習慣，應人性化、智能化、高效簡單。

1.7 白帽子兵法1.7.1 secure bydefault原則

安全就像介面設計一樣，只給使用者需要的。所以“白名單”模式更加好一些。

安全最為重要的是安全意識.安全意識比任何安全防範更加有用。

還有就是最小擷取原則，在此之前，我寫判斷使用者是否存在的SQL代碼時，一般為“select* from admin where name=‘qiang’ andpassword=‘123456’”。這是不安全的，我以後要寫為“select count(*)from admin where name=‘qiang’ andpassword=‘123456’”

 

1.7.2 縱深防禦原則

含義：一、在各個層面，各個不同方面實施安全，避免出現疏漏，不同安全方案需要相互配合，構成一個整體；二、安全方案需要治本。

對於富文本的xss防禦,我目前可以實現的處理方式是使用"白名單".但是白名單還是會出現一些較為嚴重的漏洞.所以我還需要繼續關注富文本的XSS攻擊。

 

1.7.3 資料與代碼分離原則

該原則主要應用與“注入”情境。

1.7.4 不可預測性原則

對於不可預測的使用，我之前也有過思考.我在使用獵豹瀏覽器的時候發現,百度的廣告被過濾了.所以我認真的看了一下，發現，原來百度的廣告都是寫在一個Id=content_right的div之中，這就給瀏覽器過濾的機會了。應該把這個div的屬性id或其他的屬性隨機化，讓瀏覽器無法知道它的確切位置。

1.8 小結

我是非常贊成,安全是一種平衡藝術的說法,因為我們需要做到的是安全與成本的平衡。

本文出自 “夢朝思夕” 部落格，請務必保留此出處http://qiangmzsx.blog.51cto.com/2052549/1859544

《白帽子講WEB安全》學習筆記之第1章 我的安全世界觀