国产在线一区二区三区九色,国内学生情侣自拍愉拍,狠狠躁日日躁夜夜躁2022麻豆,欧美日韩亚洲国内综合网国产精品,最新亚洲无码专区,无限资源欧美男人天堂,2020年无码专区

<var id="qqxep"><ins id="qqxep"><thead id="qqxep"></thead></ins></var>

<menuitem id="qqxep"><code id="qqxep"><thead id="qqxep"></thead></code></menuitem>

<dfn id="qqxep"><code id="qqxep"><thead id="qqxep"></thead></code></dfn>

會員中心
加入VIP
微信

客服微信網(wǎng)站公眾號

　煤礦　化工　建筑
　機(jī)械　電力　冶金
　消防　交通　特種

　論壇　活動　視頻
　問答　投稿　 MSDS
　簽到　超市　招聘

導(dǎo)航：安全管理網(wǎng)>> 安全管理>> 行業(yè)安全>> 其它行業(yè)>>正文

從木桶理論看第三方組件安全

		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年12月06日
下載地址：點(diǎn)擊這里	文件大?。?1007.43 KB 共2頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

內(nèi)容預(yù)覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?007.43 KB 共2頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：析食品檢驗(yàn)對肉制品安全重要性

上一篇：淺談食品中毒及防范措施

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

安全咖啡屋
計(jì)算機(jī)與網(wǎng)絡(luò)創(chuàng)新生活
從木桶理論看第蘭方組件安全
木桶能盛多少水取決于最短
的那塊板有多長，我實(shí)在找不出比
這更形象的比喻來形容應(yīng)用程序
安全。
安全意識
很早以前，人們寫代碼的時(shí)候
幾乎不關(guān)心安全問題，后來隨著黑
客(這里主要指不懷好意的破壞
者、惡作劇者等)的出現(xiàn)，對計(jì)算機(jī)
系統(tǒng)、個(gè)人、企業(yè)公司等造成了巨
大破壞和財(cái)產(chǎn)損失，于是人們逐漸
將目光投向安全領(lǐng)域，不斷關(guān)注安
全問題。例如幾年前泛濫得一塌糊
涂的sQL注入漏洞，雖然現(xiàn)在依然
存在，但是和以往比較起來已經(jīng)大
有好轉(zhuǎn)。在web領(lǐng)域里，跨站腳本
攻擊漏洞(xss)和跨站請求偽造漏
洞(csRF)也曾肆掠過我們的互聯(lián)
網(wǎng)，并且現(xiàn)在依然在owAsP T0p
10中排名前列，好在很多web框
架已經(jīng)關(guān)注此類問題，從框架層面
上提供默認(rèn)的安全防護(hù)支持?？偟?
來說，我們的安全意識在不斷加
強(qiáng)，軟件開發(fā)過程中的安全問題也
得到了更多的關(guān)注，但這并不夠。
木桶能盛多少水取決于最短
的那塊板有多長，我們的開發(fā)人員
有安全意識了，能主動避免開發(fā)過
程中出現(xiàn)安全漏洞，但是現(xiàn)如今一
個(gè)應(yīng)用程序的80％的代碼來自于
第三方組件，就算我們能保證自己
開發(fā)的代碼沒有安全問題，又如何
有信心保證我們使用的這些第三
方組件沒有安全漏洞?
第三方組件通常擁有和自有
代碼同樣的運(yùn)行權(quán)限，這意味著，
如果這些組件有安全漏洞，那么整
個(gè)應(yīng)用程序的安全都會受到威脅。
這就好比你自己修房子，購買了一
大堆基礎(chǔ)建筑材料，這些材料個(gè)個(gè)
看上去都很結(jié)實(shí)，防盜門的鋼板有
1cnl厚，窗戶用的是防彈玻璃，并
且雇來專業(yè)建筑團(tuán)隊(duì)修好了房子，
整體建造水平很不錯，但很不幸的
是，你購買的窗戶的鎖芯有問題，
并不能真正的鎖好，以至于小偷可
以通過翻窗的方式進(jìn)入你的房子
實(shí)施盜竊。
忽視和誤解
既然第三方組件安全至關(guān)重
要，但是為什么還是有很多開發(fā)團(tuán)
隊(duì)沒有重視這個(gè)問題呢?常見的原
因不外乎是：
沒有人意識到需要注意第三方
組件的安全問題
項(xiàng)目交付壓力大，沒有那么多
時(shí)間來研究第三方組件安全
第三方組件不是我們自己開發(fā)
的，它的安全問題不應(yīng)該由我們負(fù)
責(zé)，而且出了安全問題我們也無能
為力，我們又不能修改他們的源代
碼，雖然這些原因看上去都挺合理
的，但其實(shí)是對第三方組件安全的
誤解。
既然現(xiàn)在的應(yīng)用程序已經(jīng)大量
使用第三方組件了，這些組件的安
全問題可以直接影響到應(yīng)用程序
的安全，還有什么理由不關(guān)注第三
方組件的安全呢。而且，在剛剛發(fā)
布的2013版的owAsP Top 10當(dāng)
中，第三方組件安全漏洞已經(jīng)被列
為第9大應(yīng)用程序安全漏洞。
項(xiàng)目確實(shí)是有交付壓力的，特
別是這種壓力大到不合理的時(shí)候，
開發(fā)團(tuán)隊(duì)很容易對代碼質(zhì)量進(jìn)行
妥協(xié)，以此換取開發(fā)速度。例如抱
著僥幸心理，以為某些潛在的安全
問題不太可能被外界發(fā)現(xiàn)。團(tuán)隊(duì)可
能會認(rèn)為，雖然交付出去的產(chǎn)品有
一點(diǎn)缺陷，但總比交付失敗拿不到
合同款要好，然而這種以降低產(chǎn)品
質(zhì)量換取一時(shí)的利益是飲鴆止渴。
安全也是產(chǎn)品質(zhì)量的一部分，如果
團(tuán)隊(duì)堅(jiān)持追求高質(zhì)量的產(chǎn)品，就應(yīng)
該投入足夠的資源關(guān)注第三方組
件安全。
雖然第三方組件的安全不應(yīng)該
由使用它的開發(fā)團(tuán)隊(duì)來負(fù)責(zé)，特別
是對于一些非開源的第三方組件
而言，看上去開發(fā)團(tuán)隊(duì)確實(shí)無能為
力，但是就算這樣也不能坐以待
斃，其實(shí)還是有很多事可以做的，
具體可參見下一小節(jié)。
應(yīng)對建議
第三方組件安全應(yīng)該得到有效
的管理，推薦開發(fā)團(tuán)隊(duì)采取下列應(yīng)
對措施：
培養(yǎng)開發(fā)團(tuán)隊(duì)甚至整個(gè)企業(yè)公
司的安全意識。有些事情真的是安
全意識問題，有時(shí)候一個(gè)簡單的舉
動就能避免更大的安全問題，舉個(gè)
例子，停車離開時(shí)，絕大多數(shù)人都
記得鎖車門，然而鮮有人在鎖車后
會再伸手拉一下車門以確認(rèn)真正
已經(jīng)鎖好了。已經(jīng)有無數(shù)新聞報(bào)道
過，一些不法分子專門干擾汽車中
控鎖，讓車主以為鎖好了車門，待
其離開后行竊，這正是利用了人們
在鎖車時(shí)沒有太強(qiáng)安全意識的漏
洞。試想，如果車主在鎖車后再隨
手拉～下車門，舉手之勞間就能避
免自己的財(cái)物被盜。
培養(yǎng)安全意識是最容易的，也
是最難的。容易在于人們的安全意
識可以很容易被喚起，難在又很容
易被人們遺忘。開發(fā)團(tuán)隊(duì)需要一個(gè)
持續(xù)的過程，以保證人們能對第三
方組件安全時(shí)刻保持警惕。
經(jīng)常更新第三方組件的版本。
開發(fā)團(tuán)隊(duì)為了保持應(yīng)用程序的穩(wěn)
定性，很少更新第三方組件版本，
尤其是一些核心基礎(chǔ)組件。一般來
講，舊版本中的安全漏洞大多會在
新版本里被修復(fù)，如果開發(fā)團(tuán)隊(duì)不
能及時(shí)更新至新版本，自己的應(yīng)用
程序很有可能會受到連累。所以經(jīng)
萬《方計(jì)數(shù)算據(jù)機(jī)與網(wǎng)絡(luò)》2013年第14期
安全咖啡屋
計(jì)算機(jī)與網(wǎng)絡(luò)創(chuàng)新生活■巨業(yè)l刪啊罨強(qiáng)蝴】l雷q
L w如嘲木馬艨爹j努析與對策
據(jù)有關(guān)報(bào)道指出，某政府網(wǎng)站上傳webshen到網(wǎng)站任意可寫目錄詢輸出php文件，因?yàn)樗械臄?shù)據(jù)
被黑后，有關(guān)安全檢測技術(shù)人員在中，從而拿到網(wǎng)站的管理員控制權(quán)是存放在mysql里的，所以黑客可以
經(jīng)過詳細(xì)排查后，確認(rèn)是websheu 限： 通過正常手段把webshen代碼插入
木馬后門。更值得警惕的是黑客對黑客私自添加修改上傳類型： mysql在利用sELEcT?訪To
木馬文件的代碼進(jìn)行了加密，由此現(xiàn)在很多腳本程序上傳模塊不是只oUTFILE語句導(dǎo)出sheu。
繞過了web防火墻和防病毒軟件允許上傳合法文件類型，實(shí)際上大3．wbsheu的隱蔽性
的查殺，并且木馬文件建立的時(shí)間多數(shù)的系統(tǒng)是允許添加上傳類型，wbsheu有些惡意網(wǎng)頁腳本可以
在架設(shè)安全設(shè)備之前，甚至有若干由此很容易被黑客利用： 嵌套在正常網(wǎng)頁中運(yùn)行，因此不容
木馬文件一年前就已經(jīng)存在。黑客利用wEB系統(tǒng)后臺管理易被查殺。由于與被黑客控制的唧
1．websheⅡ的概念和危害性功能寫入websheu：黑客進(jìn)入wEB 系統(tǒng)服務(wù)器或黑客遠(yuǎn)程主機(jī)交換的
webshen就是以aSP、php、．isp或系統(tǒng)后臺。數(shù)據(jù)都是通過80端口傳遞的，因此
者cgi等網(wǎng)頁文件形式存在的一種例如網(wǎng)站后臺后還可以通過修msheu不會被防火墻攔截。同時(shí)，
命令執(zhí)行環(huán)境，也可以稱為一種網(wǎng)改相關(guān)文件來寫入websheⅡ； 使用wbsheⅡ一般不會在系統(tǒng)日志
頁后門。黑客在入侵網(wǎng)站后，通常黑客利用后臺管理工具向配置中留下記錄，只會在網(wǎng)站的web日
會將websheu后門文件與網(wǎng)站服務(wù)文件寫入websheⅡ； 志中留下一些數(shù)據(jù)提交記錄，很難
器wEB目錄下正常的網(wǎng)頁文件混黑客利用后臺數(shù)據(jù)庫備份及恢發(fā)現(xiàn)入侵痕跡。
在一起，然后就可以使用瀏覽器來復(fù)功能獲得websheⅡ：主要是利用后4．如何進(jìn)行加固和防范
訪問這些后門，得到命令執(zhí)行環(huán)臺對access數(shù)據(jù)庫的“備份數(shù)據(jù)庫” 對邱進(jìn)行權(quán)限設(shè)置，取消匿名
境，以達(dá)到控制網(wǎng)站或者wEB系或“恢復(fù)數(shù)據(jù)庫”功能，“備份的數(shù)據(jù)訪問。
統(tǒng)服務(wù)器的目的(可以上傳下載文庫路徑”等變量沒有過濾導(dǎo)致可以對目錄進(jìn)行權(quán)限設(shè)置，不同網(wǎng)
件、查看數(shù)據(jù)庫、執(zhí)行任意程序命把任意文件后綴改為asp，從而得到站使用不同的用戶權(quán)限。
令等)。webshen； 對系統(tǒng)盤的敏感目錄及文件進(jìn)
2．黑客部署websheu木馬后門黑客利用后臺nIySql數(shù)據(jù)查詢行權(quán)限設(shè)置，提高系統(tǒng)安全性。
的幾種途徑功能獲得礬sheu：后臺只要有mysql 定期更新服務(wù)器補(bǔ)丁，定期更
黑客直接上傳websheⅡ：因過濾數(shù)據(jù)查詢功能，黑客就可以利用它新殺毒軟件。
上傳文件不嚴(yán)，導(dǎo)致黑客可以直接執(zhí)行sELEcT?in To ouTFILE查(x023)
常的，及時(shí)的更新組件版本是非常查詢，確認(rèn)這些第三方組件的安全對即將采用的新組件進(jìn)行安全
有必要的。漏洞情況；然后，對有安全漏洞的檢測、驗(yàn)證在cI上部署第三方組
更換有安全漏洞的第三方組第三方組件進(jìn)行更新或者更換，如件安全監(jiān)測機(jī)制，若應(yīng)用產(chǎn)品使用
件。某些第三方組件可能已經(jīng)停止有必要，還需要采取一些措施自己了有漏洞的第三方組件，則不允許
開發(fā)，或者缺少維護(hù)，出現(xiàn)安全漏修復(fù)安全漏洞。由于被使用到的第通過構(gòu)建。
洞后也得不到及時(shí)的修復(fù)，這種情三方組件較多，并且建立清單，查總結(jié)
況下開發(fā)團(tuán)隊(duì)?wèi)?yīng)該考慮更換更安詢漏洞的過程也需要重復(fù)的持續(xù)第三方組件安全問題勢必會得
全的第三方組件。的進(jìn)行，所以建議開發(fā)團(tuán)隊(duì)將其自到越來越多的關(guān)注。開發(fā)團(tuán)隊(duì)需要
第三方組件被大量使用，它們動化以提高效率，減輕團(tuán)隊(duì)負(fù)擔(dān)。提升安全意識，建立第三方組件安
的安全情況需要得到有效的監(jiān)控。應(yīng)對第三方組件安全問題，再全監(jiān)控機(jī)制，并輔以其他各種措施
首先，開發(fā)團(tuán)隊(duì)需要建立一份清多的安全措施也不嫌多，開發(fā)團(tuán)隊(duì)才能保證應(yīng)用程序的安全。
單，記錄下應(yīng)用程序使用了的所有除了可以采取上面提到的措施之木桶能盛多少水取決于最短的
的第三方組件；接下來，在安全漏外，還推薦采取下列措施： 那塊板有多長。重視第三方組件安
洞數(shù)據(jù)庫(例如cvE，r、n，D)里進(jìn)行建立安全規(guī)范全，刻不容緩。(web應(yīng)用安全實(shí)驗(yàn)室)
／
萬方數(shù)據(jù) 2013年第14期《計(jì)算機(jī)與網(wǎng)絡(luò)》

網(wǎng)友評論 more

其它行業(yè)最新內(nèi)容

04-29

安全生產(chǎn)明白卡（煙草…

02-22

商場這6個(gè)“風(fēng)險(xiǎn)點(diǎn)”…

02-22

如何預(yù)防高空拋物、墜…

12-12

高空墜物從天而降的災(zāi)禍

10-13

核泄漏事故應(yīng)急措施

10-01

風(fēng)險(xiǎn)評估等級如何判定？

10-01

加強(qiáng)生產(chǎn)現(xiàn)場管理的方法

10-01

供應(yīng)商現(xiàn)場審核中的“…

其它行業(yè)熱點(diǎn)內(nèi)容

86683

淺談食品安全的重要性

68547

我國安全生產(chǎn)的基本…

53077

生產(chǎn)車間安全常識

50813

車間內(nèi)安全通道的寬…

44324

食品安全突發(fā)事件應(yīng)…

36539

食堂安全隱患及防范…

35680

冬季安全生產(chǎn)注意事項(xiàng)

34003

城市污水處理廠的安…

相關(guān)內(nèi)容

木桶理論在安全生產(chǎn)工作中…

木桶理論在煤礦安全管理中…

創(chuàng)想安科網(wǎng)站簡介會員服務(wù)廣告服務(wù)業(yè)務(wù)合作提交需求會員中心在線投稿版權(quán)聲明友情鏈接聯(lián)系我們

思南县| 望都县| 马公市| 贺兰县| 侯马市| 遂宁市| 清镇市| 和龙市| 天水市| 石门县| 林甸县| 凤台县| 靖宇县| 靖西县| 西和县| 车险| 岗巴县| 淮南市| 根河市| 巫山县| 武胜县| 高阳县| 萝北县| 宁乡县| 赫章县| 五台县| 凤台县| 时尚| 和平区| 永城市| 遂昌县| 福泉市| 雅江县| 太原市| 射阳县| 礼泉县| 长宁县| 凤台县| 双鸭山市| 高阳县| 嵊州市|

<dfn id="voap4"><center id="voap4"></center></dfn>

<tt id="voap4"><rt id="voap4"></rt></tt>