在數字化浪潮的(de)(de)(de)推動(dong)下，軟(ruan)(ruan)件(jian)(jian)的(de)(de)(de)**性(xing)(xing)(xing)問題(ti)日益突(tu)顯。身為第三(san)方軟(ruan)(ruan)件(jian)(jian)測(ce)(ce)(ce)試(shi)(shi)服務(wu)機構，哨兵(bing)科技(ji)持有CMA、CNAS等資質認證，聚焦(jiao)于為客戶提供(gong)深度的(de)(de)(de)代(dai)碼(ma)(ma)審計(ji)與檢測(ce)(ce)(ce)服務(wu)，保障軟(ruan)(ruan)件(jian)(jian)的(de)(de)(de)**性(xing)(xing)(xing)和可靠性(xing)(xing)(xing)。代(dai)碼(ma)(ma)審計(ji)，簡單(dan)來說，就(jiu)是(shi)對軟(ruan)(ruan)件(jian)(jian)的(de)(de)(de)代(dai)碼(ma)(ma)進(jin)行(xing)(xing)系統性(xing)(xing)(xing)檢查(cha)(cha)和分(fen)析，找出潛在的(de)(de)(de)**漏洞(dong)、性(xing)(xing)(xing)能問題(ti)以(yi)及(ji)其他各類缺陷。它通(tong)過對軟(ruan)(ruan)件(jian)(jian)代(dai)碼(ma)(ma)的(de)(de)(de)深入審查(cha)(cha)，幫(bang)助開發(fa)團隊了解代(dai)碼(ma)(ma)的(de)(de)(de)**狀況(kuang)，從而采取(qu)相應(ying)的(de)(de)(de)措施(shi)進(jin)行(xing)(xing)修復和改進(jin)，為軟(ruan)(ruan)件(jian)(jian)的(de)(de)(de)質量和**性(xing)(xing)(xing)保駕護航。模糊測(ce)(ce)(ce)試(shi)(shi)是(shi)動(dong)態代(dai)碼(ma)(ma)審計(ji)的(de)(de)(de)測(ce)(ce)(ce)試(shi)(shi)手段之一，通(tong)過向程(cheng)序輸入異(yi)常數據，讓那些潛藏漏洞(dong)的(de)(de)(de)曝露。成都動(dong)態代(dai)碼(ma)(ma)分(fen)析測(ce)(ce)(ce)試(shi)(shi)

代(dai)碼審(shen)(shen)計(ji)的(de)(de)**佳(jia)實(shi)踐(jian)：建立代(dai)碼審(shen)(shen)計(ji)標(biao)準：定(ding)義(yi)代(dai)碼審(shen)(shen)計(ji)的(de)(de)標(biao)準和規(gui)則，以(yi)確(que)保(bao)所有審(shen)(shen)計(ji)工作都(dou)按照統(tong)一的(de)(de)標(biao)準進行。這可(ke)能(neng)(neng)包括對特定(ding)編程語言的(de)(de)規(gui)則、****佳(jia)實(shi)踐(jian)的(de)(de)遵(zun)守(shou)情況(kuang)等(deng)。培訓開發人(ren)員：為開發人(ren)員提供相關(guan)的(de)(de)培訓，以(yi)確(que)保(bao)他們了(le)解如何遵(zun)守(shou)**佳(jia)實(shi)踐(jian)、避免常(chang)見錯誤(wu)和漏(lou)洞(dong)等(deng)。定(ding)期(qi)進行代(dai)碼審(shen)(shen)計(ji)：定(ding)期(qi)進行代(dai)碼審(shen)(shen)計(ji)以(yi)確(que)保(bao)及時發現(xian)(xian)和修復潛(qian)在的(de)(de)問(wen)題(ti)和漏(lou)洞(dong)。這可(ke)能(neng)(neng)包括定(ding)期(qi)進行自動化工具掃描、手動審(shen)(shen)查(cha)等(deng)。保(bao)持審(shen)(shen)計(ji)工具的(de)(de)更(geng)(geng)新：保(bao)持代(dai)碼審(shen)(shen)計(ji)工具的(de)(de)更(geng)(geng)新以(yi)確(que)保(bao)它(ta)們能(neng)(neng)夠發現(xian)(xian)更(geng)(geng)新的(de)(de)漏(lou)洞(dong)和問(wen)題(ti)。建立問(wen)題(ti)跟蹤(zong)和報告機制：建立問(wen)題(ti)跟蹤(zong)和報告機制以(yi)確(que)保(bao)所有發現(xian)(xian)的(de)(de)問(wen)題(ti)都(dou)被(bei)正(zheng)確(que)記錄和處(chu)理。這可(ke)能(neng)(neng)包括使用(yong)問(wen)題(ti)跟蹤(zong)工具、定(ding)期(qi)生成(cheng)報告等(deng)。廣州代(dai)碼審(shen)(shen)計(ji)**測試機構通過代(dai)碼審(shen)(shen)計(ji)可(ke)以(yi)提前(qian)發現(xian)(xian)系(xi)統(tong)的(de)(de)**隱患，提前(qian)部署(shu)防(fang)御措施，保(bao)證系(xi)統(tong)在未知(zhi)環境下能(neng)(neng)經(jing)得起嘿客挑戰。

代碼(ma)審計服(fu)務將依(yi)據**編程規(gui)范，通過??以(yi)(yi)及(ji)(ji)自動化?具(ju)，對WEB、APP源碼(ma)從結構、脆弱性以(yi)(yi)及(ji)(ji)缺(que)陷(xian)等方(fang)面(mian)進行(xing)審查，重復挖(wa)掘(jue)當(dang)前代碼(ma)中(zhong)存在的**缺(que)陷(xian)以(yi)(yi)及(ji)(ji)規(gui)范性缺(que)陷(xian)，并提供**修復建議。**工控(kong)**質檢(jian)(jian)中(zhong)心西(xi)南實驗室（哨兵科(ke)技(ji)），是(shi)專業的第三方(fang)信(xin)息(xi)化檢(jian)(jian)驗檢(jian)(jian)測機構，具(ju)備專業的**團隊和**工具(ju)豐(feng)富的代碼(ma)審計服(fu)務經(jing)驗以(yi)(yi)及(ji)(ji)高效的服(fu)務效率。以(yi)(yi)“提升防護(hu)能(neng)力捍衛工信(xin)**”為己任，被評選為**工業信(xin)息(xi)**應急服(fu)務支撐(cheng)單(dan)位、**工業信(xin)息(xi)**測試(shi)評估機構、**CICSVD技(ji)術支持(chi)組成員單(dan)位。

代(dai)(dai)(dai)(dai)碼(ma)(ma)審(shen)(shen)計報(bao)告概述了(le)代(dai)(dai)(dai)(dai)碼(ma)(ma)審(shen)(shen)計的(de)(de)(de)(de)整體過程、發現的(de)(de)(de)(de)**問(wen)(wen)題以(yi)(yi)及建議的(de)(de)(de)(de)修復(fu)方案。**工(gong)控(kong)**質(zhi)(zhi)檢(jian)中心西南(nan)實(shi)驗室（哨兵(bing)科技(ji)）代(dai)(dai)(dai)(dai)碼(ma)(ma)審(shen)(shen)計的(de)(de)(de)(de)服(fu)務內容：1、代(dai)(dai)(dai)(dai)碼(ma)(ma)質(zhi)(zhi)量評估：通過對代(dai)(dai)(dai)(dai)碼(ma)(ma)進(jin)行分(fen)析和評估，檢(jian)查代(dai)(dai)(dai)(dai)碼(ma)(ma)是否(fou)(fou)符合編碼(ma)(ma)規范(fan)和**佳實(shi)踐，以(yi)(yi)發現潛(qian)在的(de)(de)(de)(de)**隱患。2、漏(lou)洞發現：主要(yao)針(zhen)對常(chang)見(jian)的(de)(de)(de)(de)**漏(lou)洞類型進(jin)行檢(jian)測，如跨站腳(jiao)本攻擊(ji)、SQL注入、遠(yuan)程代(dai)(dai)(dai)(dai)碼(ma)(ma)執行等，通過檢(jian)測代(dai)(dai)(dai)(dai)碼(ma)(ma)中的(de)(de)(de)(de)漏(lou)洞，幫助(zhu)客戶修復(fu)潛(qian)在的(de)(de)(de)(de)**風險。3、權限(xian)和訪(fang)(fang)問(wen)(wen)控(kong)制(zhi)(zhi)(zhi)：檢(jian)查代(dai)(dai)(dai)(dai)碼(ma)(ma)中的(de)(de)(de)(de)權限(xian)控(kong)制(zhi)(zhi)(zhi)機制(zhi)(zhi)(zhi)和訪(fang)(fang)問(wen)(wen)控(kong)制(zhi)(zhi)(zhi)策(ce)略是否(fou)(fou)合理，是否(fou)(fou)存(cun)在未經授權的(de)(de)(de)(de)訪(fang)(fang)問(wen)(wen)漏(lou)洞。4、加密和數據保(bao)護：檢(jian)查代(dai)(dai)(dai)(dai)碼(ma)(ma)中的(de)(de)(de)(de)加密算法和數據保(bao)護機制(zhi)(zhi)(zhi)，確保(bao)敏(min)感信息的(de)(de)(de)(de)**性。哨兵(bing)科技(ji)代(dai)(dai)(dai)(dai)碼(ma)(ma)審(shen)(shen)計融合人工(gong)審(shen)(shen)查與審(shen)(shen)計工(gong)具檢(jian)測，以(yi)(yi)靜態(tai)代(dai)(dai)(dai)(dai)碼(ma)(ma)審(shen)(shen)計和動(dong)態(tai)代(dai)(dai)(dai)(dai)碼(ma)(ma)審(shen)(shen)計兩種方式進(jin)行深(shen)挖細(xi)究(jiu)。

為保(bao)證(zheng)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)**性，哨兵科技(ji)的(de)(de)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)審(shen)(shen)(shen)(shen)計(ji)(ji)業務融合人(ren)工(gong)(gong)(gong)的(de)(de)專(zhuan)業審(shen)(shen)(shen)(shen)查(cha)與代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)審(shen)(shen)(shen)(shen)計(ji)(ji)工(gong)(gong)(gong)具(ju)檢測，以靜態(tai)(tai)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)審(shen)(shen)(shen)(shen)計(ji)(ji)和(he)動(dong)態(tai)(tai)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)審(shen)(shen)(shen)(shen)計(ji)(ji)兩(liang)種(zhong)方式進(jin)(jin)行(xing)深(shen)挖細究。針對(dui)項目源代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)，從輸(shu)入(ru)驗(yan)證(zheng)、API誤(wu)用(yong)、**特性、時間和(he)狀態(tai)(tai)、錯(cuo)誤(wu)處理(li)、代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)質量、代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)封(feng)裝、環(huan)境和(he)網頁木馬(ma)后門等(deng)九項檢測項進(jin)(jin)行(xing)測試。我們采(cai)用(yong)靜態(tai)(tai)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)掃(sao)描工(gong)(gong)(gong)具(ju)codepecker、fortify、bandit以及(ji)murphysec等(deng)，對(dui)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)進(jin)(jin)行(xing)靜態(tai)(tai)掃(sao)描，人(ren)工(gong)(gong)(gong)對(dui)掃(sao)描結果進(jin)(jin)行(xing)追(zhui)蹤(zong)(zong)復現，排除誤(wu)報項。同時對(dui)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)進(jin)(jin)行(xing)人(ren)工(gong)(gong)(gong)審(shen)(shen)(shen)(shen)計(ji)(ji)，通過(guo)模擬(ni)各種(zhong)攻擊場(chang)景(jing)和(he)用(yong)戶操作，依據代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)審(shen)(shen)(shen)(shen)計(ji)(ji)checklist，對(dui)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)中的(de)(de)關鍵函數、入(ru)口點(dian)、爆發(fa)點(dian)進(jin)(jin)行(xing)審(shen)(shen)(shen)(shen)查(cha)追(zhui)蹤(zong)(zong)調用(yong)鏈(lian)，分(fen)析代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)邏(luo)輯以及(ji)代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)架(jia)構，找(zhao)出工(gong)(gong)(gong)具(ju)漏(lou)掃(sao)部(bu)分(fen)缺陷。如果有(you)測試環(huan)境，對(dui)找(zhao)出的(de)(de)部(bu)分(fen)缺陷進(jin)(jin)行(xing)驗(yan)證(zheng)，進(jin)(jin)一(yi)步確(que)(que)保(bao)缺陷準確(que)(que)率。哨兵科技(ji)具(ju)有(you)豐富的(de)(de)軟(ruan)件測試經驗(yan)和(he)**知(zhi)識(shi)，專(zhuan)業的(de)(de)工(gong)(gong)(gong)程師(shi)團隊(dui)，能(neng)夠識(shi)別各種(zhong)潛在的(de)(de)**威脅。成都代(dai)(dai)(dai)(dai)碼(ma)(ma)(ma)審(shen)(shen)(shen)(shen)計(ji)(ji)

代碼(ma)審計(ji)工(gong)具是一(yi)類輔助(zhu)我們做白(bai)盒測試(shi)的(de)程序，用來自動(dong)化對代碼(ma)進行(xing)**掃描的(de)利器(qi)。成都動(dong)態代碼(ma)分析測試(shi)

代碼(ma)審計(ji)(ji)就是(shi)通(tong)過(guo)閱讀源代碼(ma)，從中找(zhao)出程(cheng)(cheng)序源代碼(ma)中存(cun)在(zai)(zai)的(de)缺(que)陷(xian)或**隱患，提(ti)前(qian)發(fa)現并解決(jue)風險，這在(zai)(zai)甲方的(de)SDL建(jian)設中是(shi)很重要(yao)的(de)一環。而在(zai)(zai)滲透(tou)測(ce)試(shi)中，可以(yi)通(tong)過(guo)代碼(ma)審計(ji)(ji)挖掘程(cheng)(cheng)序漏(lou)洞(dong)，快速利用(yong)漏(lou)洞(dong)進行攻擊達(da)成目(mu)標。常用(yong)的(de)審計(ji)(ji)工具Snyk、SeayPHP、CodeXploiter、Code-audit、FortifySCA、SonarQube等。哨兵科技(ji)可以(yi)為電力、金融、通(tong)信(xin)、**、汽(qi)車等關鍵行業，無論是(shi)政fu部門或企業，提(ti)供定制(zhi)化的(de)代碼(ma)審計(ji)(ji)服(fu)務以(yi)及其(qi)他各類軟件測(ce)試(shi)服(fu)務。成都動態(tai)代碼(ma)分析(xi)測(ce)試(shi)