淡化攻击实现过程,系统化解决应用安全问题才是王道

2013-05-08 186815人围观 ,发现 41 个不明物体 其他观点

安全事件发生的最初阶段,是“黑客”促使我们思考安全漏洞的危害–往往考虑的是直接危害,同样我们最初的解决办法当然是“头痛医头脚痛医脚”。同时,许多人对于黑客的行为感到相当好奇,偷窥欲望油然而生,许多人钻研黑客技术往往就是因为好奇,现实当中有攻击能力往往成为衡量一个人技术水平的“不成文共识”。本人对这些现象不否认但不支持也不赞成,这种观念上的分歧的根源往往在于每个人站的角度不同使然。

如果你的职责是守护一个产品,确保它可以提供安全的服务给我们的客户,我需要思考什么?先看一下,你同意以下观点吗?

1. 你学着黑客一样在测试环境去攻击我的产品,发现问题立即封住,这是我的主要职责
2. 你监听用户行为,发现恶意行为,立即堵住,同时找到恶意用户的攻击点,找找问题,如果有问题,封住,这是我工作的重要组成部分
3. 你的老板可能会认为我发现的问题越多,说明技术越好越用功,对产品的安全性越有信心
4. 你担心当某一天,我再也无法发现产品的安全问题了,是不是我也就没事儿了,轮到我下岗了

如果你同意或基本同意以上观点,我觉得你所维护的产品发安全性相当危险,至少你没有足够的理由对你的产品的安全性足够的放心。

再看一下以下观点,你同意吗?

1. 你研究黑客行为,目的是掌握潜在的安全漏洞的存在形式,以检查本公司产品是否有类似问题
2. 你研究各种常见漏洞,目的是掌握漏洞的产生的根源,以便我系统的总结它的原因,系统化的统一在产品当中解决它
3. 你努力着试图把各种漏洞的产生的根本原因总结到一起,抽象出共性,以使其变为规范,在产品开发过程当中以便程序设计与实现人员只要遵守规范,便可避免诸多潜在安全问题的出现
4. 你研究渗透测试目的不是用测试来发现所有的安全问题,而是用来检查我以上三条是否需要完善

如果你同意或者基本同意以上观点,至少你所维护的产品的安全性是可控的,可度量的,内心是有底的,如果你敢大胆的说你的产品足够安全,那可性度是相当高的。


最后,用一个例子来表明为什么要淡化攻击过程实现:

如何发现XSS漏洞?我一句话就能说清楚:用一串带有Javascript敏感的字符串来篡改替换HTTP请求头当中的参数值,观察HTTP响应里是否被返回,如果返回是否被正确编码(叫转义也行)的过程。

如此说来,发现一个有XSS漏洞的API的XSS问题对于一个普通的软件测试人员也并非难事儿。一个简单的反射式XSS问题,可能5分钟就可以确定,但是,我要强调一下这个“但是”,这个XSS漏洞如何反变成可利用的可以实现攻击的漏洞,这个过程将可能是1小时也可能是一个月,还有可能是1-2年!


对于我,一个企业的产品安全维护者,解决这样的一个XSS问题可能也只需要5-10分钟,如果让我花1小时到2年时间来证明它的利用价值有多高,请问同行们,你觉得有意义吗?


有一个群体的人会回答:有意义! 他们往往是非产品安全维护人员,可能是黑客产业链中的人,也可能是强烈的黑客技术的好奇者……,如果不幸的有我们同行在里面,我会觉得很不是滋味,

我理想中的同行们应该是这样的:


我有能力成为黑客,但是我不会把时间浪费在“当黑客”这一行当上。


这些评论亮了

  • 上线了 回复
    I dont know why 特别反感楼主那些高屋建瓴的words,和那副要给大中华区黑客上课的架势,也maybe是因为偶最近egg疼的厉害,and正巧google io也插播广告,so偶抽空赐你几句。
    首先,你说的第一个1234和第二个1234完全不矛盾,只是不同企业的不同安全团队在不同阶段解决不同产品的不同安全问题时使用的不同方法罢了
    其次,别刚看过一本叫安全度量的书的目录就出来咆哮神马可度量,你说的那1234和度量基本木有关系,do you know 安全在能度量之前腰做多少前戏嗎?
    再之,偶自诩比你懂的多那么a bit,I dont know 你心里的底如何从1234而来
    接着,你还在苦恼如何证明xss的危害,说明你的level rather一般,就不要出来抛书包了,有一个事情叫演习。
    最后,“系统化工程”,it looks like 很有level,别tree一帜,似乎和其他黑客or安全从业者相比更高级,神马规划,神马体系,神马架构留着去忽悠你boss,FB里的精英们看着就是shit,那种fell就好像偶在评论中喷了一堆单词一样让人感到恶心,Bingo!
    That's exactily feel写成了fell的感觉。
    Finally,当偶看到你说开发规范是如何威力无比的时候,偶feel偶认真就lose了
    google io,I am going back to you!
    )13( 亮了
  • anlfi (5级) 回复
    @落叶纷飞  笨蛋我才不喷呢,人都是有思想的,他认为是对的你何必去改变别人的想法?
    就像信念不同 不和胃口的自然不会在一起 况且你自己也没有能改变自己怎么去改变别人
    快来一起灌水吧
    _______________________________________________________________________________________
    jiayzhan 写很的不错,有一句话说的好 出鞘的剑能能阻止另一把剑出鞘伤人,破坏是痛苦的
    “淡化攻击实现过程,系统化解决应用安全问题才是王道”
    可以看出即是一种心态又是一种责任 只有淡化过程 了解问题本质
    理智的处理威胁 就像警察不是每一个犯人都去抓 解决问题的方法有很多
    但是能保持理智就能做出最正确的选择
    态度决定一切!@落叶纷飞 这只是对你没有用而已 不要妄想定论
    看完你的文章我很感动!
    ---------------------------------------------------------------------------------------
    以下是吐槽时间
    看完标题我就懂了 “淡化攻击实现过程,系统化解决应用安全问题才是王道”
    其实他可能要说的是这个意思 “淡化攻击过程危害,经过法律途径解决安全问题才是王道”
    我有能力成为黑客,但是我不会把时间浪费在“当黑客”这一行当上。
    <<<<<<<<<<<<<<<<<<<<<同意+1 快加入我大天朝的队伍来吧
    当黑客是没有好下场的
    要是敢发一段xss测试 立马就不计成本的去抓你
    国家下发 xxxxW$抓捕经费 严厉抓捕 通缉 黑客
    坚决根除纯在的 可能的 地下 非正式的“信息安全工程师”或黑客 程序员,
    此举将有效的控制黑客数量
    创造和谐美好的网络氛围
    同时祝贺我大天朝 国域网 与 GFW 完美建成
    啪啪啪啪~
    )7( 亮了
发表评论

已有 40 条评论

取消
Loading...
css.php