警惕应用层安全漏洞，论软件开发层面智圣新创如何规避风险

信息安全体系描述

信息安全体系按照OSI 7层模型来划分，其中包括物理层安全、数据链路层安全、网络层安全、传输层安全、会话层安全、表示层安全、应用层安全。而应用层安全性则是业务数据实际落地的重要部分，是业务整体安全性对外的表现。所以应用层安全是高校信息安全重中之重。而对于高校信息安全而言，应用层安全大多体现在网站业务：主站、教务、一卡通、身份认证等web系统。另外存在少量的基于微信端的web业务和基于安卓或苹果IOS操作系统的app应用。

高校应用层安全现状

目前，从智圣安全团队对已授权的高校应用进行安全审计（漏洞扫描、代码审计、渗透测试等手段审计安全性）的结果看来，大多数高校应用层业务存在大量缺陷，如代码逻辑、应用服务器（IIS Weblogic Apache Tomcat等）、开发框架等均有或轻或重的应用安全问题。

2.1-代码缺陷

逻辑缺陷：未设计好的表单，逻辑设计错误，导致可以任意用户更改统一身份认证点的认证，获取全校师生账号。

逻辑缺陷：越权行为，未对账号权限和seesion信息绑定，学校学生可以越权使用教师功能权限，如教务系统。

逻辑缺陷和参数校验缺陷：万能密码，利用sql注入行为和后端校验逻辑缺陷绕过登录，’or’a’=’a为恒等式逻辑。或者类似’or’a’=’a’--,’or+len(‘a’)=len(‘b’)#等，密码123456是数据库查询账号闭合到表第一个账号字段，弱密码123456是此类特殊情况。

参数校验缺陷：文件上传，未对上传文件进行判断，可能导致用户上传应用服务器可解析的动态代码，实现远程代码执行，造成服务器RCE（远程命令执行）的webshell在后端留存，实现服务器完全控制。

上文中仅举例几处目前高校普遍存在的代码缺陷，另外sql注入、XSS、信息泄露、配置失当导致的代码问题不做过多赘述，在智圣软件开发过程中，会全面规避。

2.2-应用服务器漏洞

IIS：应用服务器IIS版本较低，包含已知高危漏洞，可以进行远程命令执行等操作。

Weblogic：weblogic版本低导致的远程反序列化命令执行。

远程服务器控制

2.3-框架漏洞

Struts、Struts2框架:目前已知的开发框架例如struts2、struts、spring等均有高危漏洞可以利用获取服务器控制权限。

Spring框架：spring框架远程命令执行导致的服务器控制权限。

智圣软件中心代码设计规范

智圣软件研发中心与智圣安全服务小组之间配合对安全代码合规进行紧密联系，以保证智圣软件中心代码安全性和业务应用安全性。流程如下所示：

3.1-安全开发设计

智圣安全服务团队在软件开发时融入开发团队，制定安全开发标准，定期进行代码安全培训，在开发时规避各类安全问题。开发生命周期如下图所示：

3.2-安全检查

公司内部检查：智圣安全服务小组，在开发之后对开发业务进行黑白盒测试，检查业务安全性，并提交协助整改。

真实上线后检查：业务上线后，智圣安全团队对业务系统进行压力测试、渗透测试、漏洞扫描、代码审计等实际环境检查，确认安全性后，向客户提交相应报告合规后再交付。

总结

智圣安全服务小组在保障高校客户的业务安全同时，也合力配合软件中心进行代码安全开发，并实时追踪最新漏洞保障及时第一时间修复智圣软件产品安全隐患。智圣软件部代码规范性从自身代码的编写安全，到代码容器应用服务器的使用安全版本、再到新型安全框架springMVC的使用，为高校师生创造出一个安全、稳定的业务系统。