Web应用安全风险评估检查表

2024-03-19 来源：易榕旅网

Web应用安全配置基线

第1章概述 ......................................................................................................................................... 3 1.1 1.2 1.3

目的 ......................................................................................................................................... 3 适用范围 ................................................................................................................................. 3 适用版本 ................................................................................................................................. 3

第2章身份与访问控制 ..................................................................................................................... 4 2.1 2.2 2.3 2.4 2.5 2.6 2.7

账户锁定策略 ......................................................................................................................... 4 登录用图片验证码 ................................................................................................................. 4 口令传输 ................................................................................................................................. 4 保存登录功能 ......................................................................................................................... 5 纵向访问控制 ......................................................................................................................... 5 横向访问控制 ......................................................................................................................... 5 敏感资源的访问 ..................................................................................................................... 6

第3章会话管理 ................................................................................................................................. 7 3.1 3.2 3.3 3.4

会话超时 ................................................................................................................................. 7 会话终止 ................................................................................................................................. 7 会话标识 ................................................................................................................................. 7 会话标识复用 ......................................................................................................................... 8

第4章代码质量 ................................................................................................................................. 9 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 4.9

防范跨站脚本攻击 ................................................................................................................. 9 防范SQL注入攻击 ................................................................................................................ 9 防止路径遍历攻击 ................................................................................................................. 9 防止命令注入攻击 ............................................................................................................... 10 防止其他常见的注入攻击 ................................................................................................... 10 防止下载敏感资源文件 ....................................................................................................... 11 防止上传后门脚本 ............................................................................................................... 11 保证多线程安全 ................................................................................................................... 11 保证释放资源 ....................................................................................................................... 12

第5章内容管理 ............................................................................................................................... 13 5.1 5.2

加密存储敏感信息 ............................................................................................................... 13 避免泄露敏感技术细节 ....................................................................................................... 13

第6章防钓鱼与防垃圾邮件 ........................................................................................................... 14 6.1

防钓鱼 ................................................................................................................................... 14

第 1 页共 15 页

6.2 防垃圾邮件 ........................................................................................................................... 14

第7章密码算法 ............................................................................................................................... 15 7.1 7.2

安全算法 ............................................................................................................................... 15 密钥管理 ............................................................................................................................... 15

第 2 页共 15 页

第1章概述

1.1 目的

本文档规定了Web应用服务器应当遵循的安全标准，本文档旨在指导系统管理人员进行Web应用安全基线检查。

1.2 适用范围

本配置标准的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。

1.3 适用版本

基于B/S架构的Web应用

第 3 页共 15 页

第2章身份与访问控制

2.1 账户锁定策略

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用账户锁定策略安全基线要求项 SBL-WebAPP-02-01-01 用户登录失败一定次数后系统自动锁定账号一段时间，以防止暴力猜测密码。尝试使用错误用户名口令失败登录多次，用户登录失败一定次数后系统自动锁定账号。 2.2 登录用图片验证码

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用登录验证策略安全基线要求项 SBL-WebAPP-02-02-01 用户登录需提供图片验证码，以防止固定密码暴力猜测账号。检查登录认证界面输入项，并右键点击图片查看链接属性。要求包含图片验证码输入项，并且图片链接属性不得包含明文图片验证码。 2.3 口令传输

安全基线项目名称安全基线编号安全基线项说明检测操作步Web应用口令传输策略安全基线要求项 SBL-WebAPP-02-03-01 不能明文传输用户登录密码。尝试登录系统，并使用抓包工具查看交互过程中在网络传输的内容。第 4 页共 15 页

骤基线符合性判定依据备注要求不得出现明文口令 2.4 保存登录功能

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用保存登录安全基线要求项 SBL-WebAPP-02-04-01 不能提供“保存登录”功能，该功能可能被利用于CSRF攻击。检查登录界面是否提供了保存登录功能不得提供该功能。 2.5 纵向访问控制

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用纵向访问安全基线要求项 SBL-WebAPP-02-05-01 合理进行纵向访问控制，不允许普通用户访问管理功能。了解是否有不允许普通用户访问的功能，尝试直接在浏览器中访问功能链接。用户不得跨权限访问受控页面 2.6 横向访问控制

安全基线项目名称安全基线编号 Web应用横向访问安全基线要求项 SBL-WebAPP-02-06-01 第 5 页共 15 页

安全基线项说明检测操作步骤基线符合性判定依据备注合理进行横向访问控制，不允许用户访问其他用户的敏感数据。了解是否存在敏感信息，检查是否对个人敏感信息进行了有效保护用户不得跨权限查看其它用户受保护敏感信息 2.7 敏感资源的访问

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用敏感资源访问安全基线要求项 SBL-WebAPP-02-07-01 需要限制对敏感资源的访问，例如后台管理，日志记录等。检查服务器的文件是否存在敏感资源，测试是否限制了这些资源的访问。对敏感资源的访问应当受控。第 6 页共 15 页

第3章会话管理

3.1 会话超时

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用会话超时安全基线要求项 SBL-WebAPP-03-01-01 当用户长时间不操作时，系统自动终止超时会话。登录系统后不操作，等待合理的时间间隔。要求预先设计的时间间隔后查看页面自动中止超时会话。 3.2 会话终止

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用会话终止安全基线要求项 SBL-WebAPP-03-02-01 系统需提供“退出”功能，允许用户强制终止当前的会话。登录系统后点击系统提供的“退出”功能，然后在同一IE窗口下视图回退到登录后的页面，并访问相应的功能点击退出后，上述检测操作结果不成功 3.3 会话标识

安全基线项目名称安全基线编号安全基线项Web应用会话标识安全基线要求项 SBL-WebAPP-03-03-01 会话标识必须足够随机，防止攻击者猜测标识或依据当前标识推导后续的标第 7 页共 15 页

说明检测操作步骤基线符合性判定依据备注识。检查多个会话标识的格式。多个会话标识不得存在简单明了的逻辑关系，要求具有随机性 3.4 会话标识复用

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用会话标识复用安全基线要求项 SBL-WebAPP-03-04-01 用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标识。检查登录前后是否使用相同的会话标识。用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标识。第 8 页共 15 页

第4章代码质量

4.1 防范跨站脚本攻击

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用防范跨站脚本安全基线要求项 SBL-WebAPP-04-01-01 系统要防止将用户输入未经检查就直接输出到用户浏览器，防范跨站脚本攻击。检查系统是否存在跨站脚本攻击漏洞。例如在能够回显的输入框输入要求系统能够将输入内容中的控制字当作纯文本内容处理 4.2 防范SQL注入攻击

安全基线项目名称安全基线编号安全基线项说明检测操作步骤基线符合性判定依据备注 Web应用防范SQL注入安全基线要求项 SBL-WebAPP-04-02-01 系统要防止将用户输入未经检查就用于构造数据库查询，防范SQL注入攻击。检查系统是否存在SQL注入漏洞。例如在输入框中输入’ 系统要使用诸如prepared statement等方式防止SQL注入，将输入内容中的控制字也当作纯文本处理 4.3 防止路径遍历攻击

安全基线项目名称安全基线编Web应用防范路径遍历安全基线要求项 SBL-WebAPP-04-03-01 第 9 页共 15 页

号安全基线项说明检测操作步骤基线符合性判定依据备注系统要防止将用户输入未经检查就用于构造文件路径，防止路径遍历攻击。尝试在URL与输入中构造文件路径并查看页面反应不允许通过构造文件路径的方式直接查看文件 4.4 防止命令注入攻击