Code Review Engine Learning

https://www.owasp.org/index.php/Code_review
https://www.owasp.org/images/8/8e/OWASP_Code_Review_Guide-V1_1.doc
http://cwe.mitre.org/about/index.html

1. INTRODUCTION: 代码审计介绍
2. PREPARATION: 代码审计需要的准备
3. SECURITY CODE REVIEW IN THE SDLC: 系统生命周期中的代码安全审计
4. SECURITY CODE REVIEW COVERAGE: 代码安全审计范围
5. CODE REVIEW METRICS: 代码审计指标
6. CRAWLING CODE: 漏洞挖掘技巧

http://cwe.mitre.org/about/index.html

1) 像乌云、XSRC这样的漏洞披露平台的出现，让更多的用户了解到了安全漏洞的危害，同时也吸引了更多的安全工作着进入这个领域
2) 媒体对安全事件的危机宣传提高了公民的安全意识
3) 不论是普通用户、还是软件开发团队，对安全开发流程SDL的重视程度都越来越高

1. Code: 代码
审计人员需要熟悉目标系统所使用的开发语言、这个语言的特性、以及这个语言本身存在的漏洞。从安全的角度来看，不同的语言(例如PHP、ASP、Java)本身的一些特性和漏洞往往也会反映在代
码漏洞上(虽然代码漏洞大多数时候是程序没有遵循安全编码规范导致的逻辑漏洞)
2. Context: 环境背景
在进行代码审计之前，了解目标应用系统的环境背景十分重要，我们需要了解:
    1) 我们正在操作什么类型的数据，即系统的输入、输出问题。我们知道，很很多漏洞和数据流的流动以及安全处理有关，所以，了解目标应用系统的数据流结构很重要
    2) 当发生数据泄漏时对公司的损失有多大
3. Audience: 目标用户
了解当前审计的应用系统的目标用户是谁:
    1) 相对可信任的企业内网用户
    2) 面向公网的普通用户
    3) 外部系统、外部服务
4. Importance: 稳定性
可用性对应用系统来说也是十分重要的，安全审计人员需要了解如果目标系统突然重启、停机会对企业造成多大的危害。我们知道，不管是"云机房建设标准"中对机房的服务器每年允许的"停止服
务时间"作出最大上限的规定，还是"SLA(Service Level Aggrement)"中对用户承诺的服务质量，应用系统保持稳定运行，并不受DDOS攻击的影响都是十分重要的

1) 查看项目的设计文档
2) 和项目开发人员、首席架构师进行交谈，了解应用系统的架构信息
3) 亲身体验一下系统的UI、功能，获取一个直观的认识
4) 了解目标系统的代码结构、所使用的开源库等等

1) 对于实际存在的漏洞，毫无疑问是应该立即采取措施进行修补
2) 而对于潜在的漏洞风险，则应该根据企业自身的环境、商业目标来对风险进行评估，优先将资源、时间投入到那些相对高风险的漏洞修补中，以实现效益最大化

1) Threat Agents: 威胁代理
2) Attack Surface: 受攻击面，即黑客可以从哪些角度对系统进行攻击
    2.1) public interfaces
    2.2) backend interfaces
3) Possible Attacks: 可能的攻击方式
4) Required Security Controls: 需要采取的安全控制机制
    4.1) stop likely attacks: 组织可能发生的攻击
    4.2) meet corporate policy: 满足企业、国家标准对系统安全的准入准则
5) Potential Technical Impacts: 发生攻击后对企业产生的潜在的技术影响
6) Important Business Impacts: 发生攻击后对企业产生的潜在的商业影响

1. 信息系统包含了什么类型的数据/资产
2. 敏感数据是怎么进入信息系统并被保存的
3. 信息系统是对内使用的还是对外使用的，用户的可信度有多高
4. 信息系统被部署的主机处于企业网络架构中的什么位置
处于安全考虑，对于未经验证的用户不允许通过DMZ区域(往往是WEB服务区)进而访问到LAN区域(后端数据库)。即使是对于内部用户，也需要通过验证，没有验证也就意味着不可问责，导致失去
追溯审计能力。 

1. Data Validation
2. Authentication(认证)
3. Session management
4. Authorization(授权)
5. Cryptography
6. Error handling
7. Logging
8. Security Configuration
9. Network Architecture 

1. Ad hoc review
2. Passaround
3. Pair programming
4. Walkthrough
5. Team review
6. Inspection

1. Requirements definition: 需求分析
    1.1 Application Security Requirements: 应用系统安全需求分析
2. Architecture and Design: 架构设计
    2.1 Application Security Architecture: 系统安全架构
    2.2 Threat Model: 风险模型
3. Development: 开发
    3.1 Secure Coding Practices: 代码开发最佳安全实践
    3.2 Security Testing: 安全测试
    3.3 Security Code Review: 代码安全审计
4. Test: 测试
    4.1 Penetration Testing: 渗透测试
5. Deployment: 部署
    5.1 Secure Configuration Management: 安全配置
    5.2 Secure Deployment: 安全部署
6. Maintenance: 后期维护

1. Planning
    1.1 Identify Security Stakeholder Stories
    1.2 Identify Security Controls
    1.3 Identify Security Test Cases
2. Sprints
    2.1 Secure Coding
    2.2 Security Test Cases
    2.3 Peer Review with Security
3. Deployment
    3.1 Security Verification (with Penetration Testing and Security Code Review)

1. Browser input: 浏览器输入
2. Cookies: HTTP Cookie输入
3. Property files: 属性文件
4. External processes: 外部程序传输的数据
5. Data feeds: 数据反馈
6. Service responses: 服务返回数据包(例如REST)
7. Flat files: 文件IO
8. Command line parameters: 命令行参数
9. Environment variables: 环境变量(例如环境变量PATH劫持攻击)

1. 动态数据流分析
2. 静态数据流分析

<?xml version="1.0" encoding="ISO-8859-1" ?>
<!DOCTYPE struts-config PUBLIC
"-//Apache Software Foundation//DTD Struts Configuration 1.0//EN"
"http://jakarta.apache.org/struts/dtds/struts-config_1_0.dtd">
    <struts-config>
        <form-beans>
            <form-bean name="login" type="test.struts.LoginForm" />
        </form-beans>
        <global-forwards>
        </global-forwards>
        <action-mappings>
            <action path="/login" type="test.struts.LoginAction" >
                <forward name="valid" path="/jsp/MainMenu.jsp" /> 
                <forward name="invalid" path="/jsp/LoginView.jsp" /> 
            </action>
        </action-mappings>
        <plug-in className="org.apache.struts.validator.ValidatorPlugIn">
            <set-property property="pathnames" value="/test/WEB-INF/validator-rules.xml,/WEB-INF/validation.xml"/>
        </plug-in>
    </struts-config>

1. 身份认证
2. 授权
3. 错误处理、错误页面
4. HTTP设置
5. debug调试设置
6. WEB服务设置
..

<authentication mode="Forms">
    <forms name="name" loginUrl="url" protection="Encryption" timeout="30" path="/" requireSSL="true|" slidingExpiration="false">
        <credentials passwordFormat="Clear">
            <user name="username" password="password"/>
        </credentials>
    </forms>
    <passport redirectUrl="internal"/>
</authentication>

所谓缺陷密度，简单来说就是系统中平均每行代码的编程错误的比例，这能从一定程度上侧面反映出目标系统的代码安全度

一般来说，系统的代码量越多，产生漏洞的可能性就越大。

统计系统中有多少函数声明

通过这个指标: 
[X Risk / LoC]
或
[Y Risk / Function Point]
(X/Y Risk代表发现的漏洞数量)

Thomas McCabe在20世纪70年代创建了路径复杂度理论，这很容易理解:
CC = Number of decisions +1
这里的"decisions"可以简单地理解为
If....else, Switch, Case, Catch, While, do, and so on.....
随着条件判断语句的增加，路径复杂度也相应增加，而我们知道，很多时候，漏洞的产生就是因为钻了复杂业务路径的空子，过高的路径复杂度削弱了系统的稳定性、可维护性、和安全性控制性
1. 0-10: Stable code. Acceptable complexity
2. 11-15: Medium Risk. More complex
3. 16-20: High Risk code. Too many decisions for a unit of code.

代码覆盖率指的对代码行数、函数功能点的检查覆盖率。对于手工审计来说，目标是100%，而对于自动化工具来说，一般是80-90%(因为对目标系统的理解程度的原因，自动化工具往往覆盖到代码的每个路径)

这个指标评估平均每个漏洞需要的修复时间、以及有多少已发现的漏洞已经被成功修复。

这个评测指标往往针对这种情况，在发现了某个漏洞之后，只是针对当前的应用场景进行了修复，但没有去总结当前系统中是否还有这一类漏洞，导致在另一个模块中又发现同一类漏洞，这在代码审计和安全开发中是应该极力避免的。
为了解决这个问题，一个好的做法是将这一类漏洞的原因抽象出来，封装成一个统一的、高层的防御策略模块，并对所有潜在存在这一问题的代码位置部署这个安全模块。

1. 特定API调用
2. 文件IO
3. 用户配置、用户管理界面

1) 组成经过验证
验证输入中是否为"规范"的数据，防止出现SQL注入、缓冲区溢出等攻击payload
2) 输入长度
用户输入的数据必须在一个[min,max]范围内
3) 输入参数类型
使用参数化防御思路，保证用户输入的参数只在规定的白名单范围中。

request.accepttypes
request.browser
request.files
request.headers
request.httpmethod
request.item
request.querystring
request.form
request.cookies
request.certificate
request.rawurl
request.servervariables
request.url
request.urlreferrer
request.useragent
request.userlanguages
request.IsSecureConnection
request.TotalBytes
request.BinaryRead
InputStream
HiddenField.Value
TextBox.Text
recordSet

response.write
<% =
HttpUtility
HtmlEncode
UrlEncode
innerText
innerHTML

exec sp_executesql
execute sp_executesql
update
delete from where
delete
exec sp_
execute sp_
exec xp_
execute sp_
exec @
execute @
executestatement
executeSQL
setfilter
executeQuery
GetQueryResultInXML
adodb
sqloledb
sql server
select from
Insert
driver
Server.CreateObject
.Provider
.Open
ADODB.recordset
New OleDbConnection
ExecuteReader
DataSource
SqlCommand
Microsoft.Jet
SqlDataReader
ExecuteReader
GetString
SqlDataAdapter
CommandType
StoredProcedure
System.Data.sql

System.Net.Cookie
HTTPOnly
document.cookie

HtmlEncode
URLEncode
<applet>
<frameset>
<img>
<style>
<layer>
<ilayer>
<meta>
<embed>
<frame>
<html>
<iframe>
<object>
<body>
<frame security
<iframe security

system.web.ui.htmlcontrols.htmlinputhidden
system.web.ui.webcontrols.hiddenfield
system.web.ui.webcontrols.hyperlink
system.web.ui.webcontrols.textbox
system.web.ui.webcontrols.label
system.web.ui.webcontrols.linkbutton
system.web.ui.webcontrols.listbox
system.web.ui.webcontrols.checkboxlist
system.web.ui.webcontrols.dropdownlist

requestEncoding
responseEncoding
trace
authorization
compilation
CustomErrors
httpCookies
httpHandlers
httpRuntime
sessionState
maxRequestLength
debug
forms protection
appSettings
ConfigurationSettings
appSettings
connectionStrings
authentication mode
allow
deny
credentials
identity impersonate
timeout
remote

log4net
Console.WriteLine
System.Diagnostics.Debug
System.Diagnostics.Trace

Serializable
AllowPartiallyTrustedCallersAttribute
GetObjectData
StrongNameIdentityPermission
StrongNameIdentity
System.Reflection

1. 合理使用了try-catch块保证隐私信息不被泄漏
2. 合理使用finnally块保证资源被正确释放
3. 使用自定义错误页面，即错误代理处理模式对错误信息进行逐层封装，保证底层的错误不被泄漏到表层UI

catch{
Finally
trace enabled
customErrors mode

1. 加密算法是否强度足够高
    1) AES
    2) 3DES
2. 密钥长度是否足够长
3. HASH算法的强度
    1) MD5
    2) SHA1
4. 是否保证HASH不可逆存储
5. 随机算法、随机种子的安全性
    1) PRNG

eval(
document.cookie
document.referrer
document.attachEvent
document.body
document.body.innerHtml
document.body.innerText
document.close
document.create
document.createElement
document.execCommand
document.forms[0].action
document.location
document.open
document.URL
document.URLUnencoded
document.write
document.writeln
location.hash
location.href
location.search
window.alert
window.attachEvent
window.createRequest
window.execScript
window.location
window.open
window.navigate
window.setInterval
window.setTimeout
XMLHTTP