西(xi)南實驗室（哨(shao)兵科(ke)技(ji)）測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)流(liu)程1、需(xu)求(qiu)評審(shen)(shen)：目(mu)(mu)的(de)(de)(de)(de)是對項(xiang)(xiang)(xiang)目(mu)(mu)需(xu)求(qiu)進(jin)行(xing)詳細分解，了解測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)類型、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)規模復雜(za)程度(du)和(he)可(ke)能存在(zai)的(de)(de)(de)(de)風險(設(she)施、人員、時間、工具等)。2、合同評審(shen)(shen)：明確(que)客(ke)戶(hu)要(yao)求(qiu)及目(mu)(mu)的(de)(de)(de)(de)、檢測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)方法選(xuan)擇(ze)、自身能力范圍(wei)、交付文(wen)件(jian)及報(bao)告(gao)(gao)(gao)要(yao)求(qiu)、合同修改、檢測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)時限、權利及義務(wu)等。3、項(xiang)(xiang)(xiang)目(mu)(mu)建(jian)(jian)(jian)立：客(ke)戶(hu)需(xu)要(yao)提(ti)供軟件(jian)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)對象，例如:需(xu)求(qiu)文(wen)檔(dang)、設(she)計文(wen)檔(dang)，用戶(hu)手冊、配置(zhi)文(wen)件(jian)、安裝文(wen)件(jian)，搭建(jian)(jian)(jian)環境(jing)，開發策劃(hua)(hua)(hua)書、被(bei)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)軟件(jian)程序等相關(guan)材料來建(jian)(jian)(jian)立需(xu)求(qiu)基線，進(jin)行(xing)需(xu)求(qiu)基線測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)評。4、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)需(xu)求(qiu)分析(xi)：技(ji)術人員針對本次測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)工作所涉及的(de)(de)(de)(de)所有項(xiang)(xiang)(xiang)目(mu)(mu)基本信息、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)內容的(de)(de)(de)(de)梳理(li)，測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)范圍(wei)的(de)(de)(de)(de)確(que)定，輸(shu)出(chu)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)評需(xu)求(qiu)產品進(jin)行(xing)需(xu)求(qiu)分析(xi)。5、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)項(xiang)(xiang)(xiang)目(mu)(mu)策劃(hua)(hua)(hua)：技(ji)術人員與客(ke)戶(hu)一同計劃(hua)(hua)(hua)詳細測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)周期、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)地點(dian)、人員、設(she)備(bei)和(he)環境(jing)，并設(she)計各(ge)類型的(de)(de)(de)(de)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)方法，從而形(xing)成(cheng)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)計劃(hua)(hua)(hua)。6、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)設(she)計和(he)實現：依據測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)需(xu)求(qiu)和(he)方案(an)編寫(xie)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)用例，形(xing)成(cheng)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)說(shuo)明文(wen)檔(dang)。7、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)執行(xing)和(he)回(hui)歸(gui)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)：現場執行(xing)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)和(he)回(hui)歸(gui)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)，形(xing)客(ke)戶(hu)對項(xiang)(xiang)(xiang)目(mu)(mu)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)報(bao)成(cheng)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)原始(shi)記(ji)錄表(biao)和(he)問題報(bao)告(gao)(gao)(gao)單。8、測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)總結(jie)出(chu)具測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)報(bao)告(gao)(gao)(gao)：整理(li)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)結(jie)果，編寫(xie)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)報(bao)告(gao)(gao)(gao)以及編寫(xie)測(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)(ce)試(shi)(shi)(shi)(shi)(shi)項(xiang)(xiang)(xiang)目(mu)(mu)總結(jie)，并組(zu)織(zhi)報(bao)告(gao)(gao)(gao)評審(shen)(shen);建(jian)(jian)(jian)立產品基線，項(xiang)(xiang)(xiang)目(mu)(mu)歸(gui)檔(dang)。代碼(ma)審(shen)(shen)計工具的(de)(de)(de)(de)使用，提(ti)高(gao)了審(shen)(shen)計的(de)(de)(de)(de)效率和(he)準確(que)度(du)，從而加快(kuai)了代碼(ma)審(shen)(shen)計報(bao)告(gao)(gao)(gao)的(de)(de)(de)(de)出(chu)具時間。**好的(de)(de)(de)(de)代碼(ma)審(shen)(shen)計審(shen)(shen)查

代(dai)(dai)碼(ma)審(shen)(shen)計(ji)(ji)是(shi)一(yi)種以(yi)(yi)發(fa)現程序錯誤，**漏洞和違反程序規(gui)范(fan)為(wei)目標(biao)的(de)(de)源代(dai)(dai)碼(ma)分(fen)(fen)析。它(ta)是(shi)防御(yu)性編程范(fan)例的(de)(de)一(yi)個(ge)組成部分(fen)(fen)，它(ta)試圖在軟(ruan)件(jian)發(fa)布(bu)之前(qian)減少錯誤。C+和C++源代(dai)(dai)碼(ma)是(shi)**常見(jian)的(de)(de)審(shen)(shen)計(ji)(ji)代(dai)(dai)碼(ma)，因為(wei)許多稿級語言具有較少的(de)(de)潛在易受攻擊(ji)(ji)的(de)(de)功能，比如(ru)Python。99%的(de)(de)大型(xing)網站以(yi)(yi)及系(xi)統(tong)都(dou)被(bei)拖過庫，泄漏了大量用戶(hu)數據或系(xi)統(tong)暫時(shi)癱瘓。此前(qian)，某國機場遭受勒索軟(ruan)件(jian)襲擊(ji)(ji)，航(hang)班(ban)信息(xi)只(zhi)能手寫(xie)。提(ti)(ti)前(qian)做好(hao)代(dai)(dai)碼(ma)審(shen)(shen)計(ji)(ji)工作，比較大的(de)(de)好(hao)處就(jiu)是(shi)將先(xian)于hei客發(fa)現系(xi)統(tong)的(de)(de)**隱患，提(ti)(ti)前(qian)部署好(hao)**防御(yu)措(cuo)施(shi)，保證系(xi)統(tong)的(de)(de)每個(ge)環(huan)節在未知環(huan)境(jing)下都(dou)能經(jing)得(de)起攻擊(ji)(ji)挑戰。**好(hao)的(de)(de)代(dai)(dai)碼(ma)審(shen)(shen)計(ji)(ji)審(shen)(shen)查通過代(dai)(dai)碼(ma)審(shen)(shen)計(ji)(ji)，可以(yi)(yi)識別潛在的(de)(de)**漏洞和編碼(ma)錯誤，提(ti)(ti)高軟(ruan)件(jian)**性和可靠性。

漏(lou)洞(dong)(dong)(dong)(dong)掃(sao)(sao)描可(ke)(ke)以(yi)快速識別(bie)已知(zhi)漏(lou)洞(dong)(dong)(dong)(dong)，但(dan)可(ke)(ke)能不能發現未知(zhi)漏(lou)洞(dong)(dong)(dong)(dong)。漏(lou)洞(dong)(dong)(dong)(dong)掃(sao)(sao)描只(zhi)能檢(jian)(jian)測出底層的(de)(de)(de)**問題，不能檢(jian)(jian)測出更深(shen)層次(ci)的(de)(de)(de)問題。漏(lou)洞(dong)(dong)(dong)(dong)掃(sao)(sao)描適(shi)用于(yu)快速評估**風險(xian)和(he)(he)(he)發現已知(zhi)漏(lou)洞(dong)(dong)(dong)(dong)，對于(yu)一些簡(jian)單(dan)的(de)(de)(de)**問題有(you)良好的(de)(de)(de)解決效果(guo)。代(dai)(dai)碼(ma)(ma)(ma)審計更加細致入(ru)微地(di)檢(jian)(jian)查和(he)(he)(he)分(fen)析應(ying)用源(yuan)代(dai)(dai)碼(ma)(ma)(ma)，可(ke)(ke)以(yi)檢(jian)(jian)測出未知(zhi)漏(lou)洞(dong)(dong)(dong)(dong)，同時(shi)(shi)也(ye)可(ke)(ke)以(yi)檢(jian)(jian)測出應(ying)用程序的(de)(de)(de)更深(shen)層次(ci)問題。代(dai)(dai)碼(ma)(ma)(ma)審計需要(yao)比較大(da)的(de)(de)(de)精(jing)力和(he)(he)(he)時(shi)(shi)間(jian)，但(dan)對于(yu)**性要(yao)求極(ji)高的(de)(de)(de)系統(tong)和(he)(he)(he)應(ying)用，代(dai)(dai)碼(ma)(ma)(ma)審計就是非常必要(yao)的(de)(de)(de)。漏(lou)洞(dong)(dong)(dong)(dong)掃(sao)(sao)描和(he)(he)(he)代(dai)(dai)碼(ma)(ma)(ma)審計可(ke)(ke)以(yi)進行優勢互補，在不同場景下，采用不同方式，才(cai)能更好地(di)找出**漏(lou)洞(dong)(dong)(dong)(dong)和(he)(he)(he)缺陷，發現風險(xian)，從而確保(bao)軟件系統(tong)的(de)(de)(de)**性。

代(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)(ji)(ji)通常(chang)是由具(ju)(ju)備(bei)豐富經(jing)驗的(de)(de)(de)**工程師或(huo)團隊進行的(de)(de)(de)，他們會使用各種技術和(he)工具(ju)(ju)來深(shen)入分析和(he)評(ping)估代(dai)碼(ma)(ma)(ma)(ma)的(de)(de)(de)**性。代(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)(ji)(ji)可(ke)以手(shou)動(dong)進行，也可(ke)以使用自(zi)動(dong)化(hua)工具(ju)(ju)來輔助(zhu)。手(shou)動(dong)審(shen)(shen)計(ji)(ji)(ji)(ji)通常(chang)更(geng)加深(shen)入，但(dan)耗時(shi)較長；而自(zi)動(dong)化(hua)工具(ju)(ju)可(ke)以快(kuai)速掃描大量代(dai)碼(ma)(ma)(ma)(ma)，但(dan)可(ke)能(neng)無(wu)法發(fa)現某些復雜或(huo)隱蔽(bi)的(de)(de)(de)漏(lou)洞。**工控**質檢中心西南實(shi)驗室（哨兵科技）具(ju)(ju)備(bei)思博(bo)倫(lun)SpirentC1、IXIAXGS2、美國**儀器（NationalInstruments）NIPXI系(xi)統(tong)、TektronixPWS4602、TDS2024C、TektronixAFG3252C、AV4051D-S、CodePecker源代(dai)碼(ma)(ma)(ma)(ma)缺陷分析系(xi)統(tong)等(deng)多種實(shi)驗儀器設(she)備(bei)。單(dan)次(ci)代(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)(ji)(ji)是指一(yi)次(ci)性為客戶的(de)(de)(de)系(xi)統(tong)開展代(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)(ji)(ji)服務(wu)，服務(wu)完成(cheng)后提交審(shen)(shen)計(ji)(ji)(ji)(ji)報告并針對**漏(lou)進行指導修復。

代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)和(he)源代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)是(shi)同(tong)一(yi)個概(gai)念嗎？代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)（CodeAudit）和(he)源代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)（SourceCodeAudit）是(shi)指同(tong)一(yi)種軟件(jian)測試(shi)類型。它(ta)們(men)都指的(de)(de)是(shi)一(yi)種通(tong)過專業方(fang)法、對軟件(jian)的(de)(de)源代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)進(jin)行(xing)(xing)系統性檢查(cha)(cha)的(de)(de)過程(cheng)，目(mu)的(de)(de)在(zai)于(yu)發現代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)中存在(zai)的(de)(de)錯誤(wu)或(huo)**漏洞(dong)。代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)側重于(yu)代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)的(de)(de)質量(liang)和(he)**性檢測、而源代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)審(shen)(shen)計(ji)(ji)著重于(yu)源代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)層(ceng)面的(de)(de)**性分(fen)析(xi)。在(zai)實際操(cao)作中，兩(liang)者(zhe)的(de)(de)目(mu)標和(he)執行(xing)(xing)的(de)(de)動作非常相似，通(tong)常都會(hui)涉及(ji)(ji)一(yi)些(xie)共同(tong)的(de)(de)關鍵步驟，如靜態代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)分(fen)析(xi)、動態分(fen)析(xi)以及(ji)(ji)手工審(shen)(shen)查(cha)(cha)。對于(yu)較大的(de)(de)代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)庫或(huo)包含(han)多種編程(cheng)語言和(he)框架(jia)的(de)(de)項目(mu)，審(shen)(shen)計(ji)(ji)費用(yong)可(ke)能會(hui)更高。成(cheng)都動態代(dai)(dai)(dai)碼(ma)(ma)(ma)(ma)分(fen)析(xi)

代碼(ma)(ma)審(shen)計是對源代碼(ma)(ma)進(jin)行人工或自動化審(shen)查，以查找潛在的**漏洞和隱患(huan)。**好(hao)的代碼(ma)(ma)審(shen)計審(shen)查

滲(shen)透測(ce)(ce)(ce)(ce)試(shi)(shi)是一種黑(hei)盒(he)(he)測(ce)(ce)(ce)(ce)試(shi)(shi)。測(ce)(ce)(ce)(ce)試(shi)(shi)人(ren)(ren)員(yuan)在獲得目(mu)標的(de)(de)(de)IP地址或域名信息(xi)的(de)(de)(de)情況下(xia)，完全模擬(ni)嘿客使用(yong)的(de)(de)(de)攻(gong)擊技術和(he)漏洞(dong)發(fa)(fa)現(xian)(xian)(xian)技術，對(dui)目(mu)標系統的(de)(de)(de)**做(zuo)深入的(de)(de)(de)探(tan)測(ce)(ce)(ce)(ce)，發(fa)(fa)現(xian)(xian)(xian)系統蕞脆弱的(de)(de)(de)環節。能(neng)(neng)夠直觀的(de)(de)(de)讓管理(li)人(ren)(ren)員(yuan)知道(dao)網絡(luo)所面臨的(de)(de)(de)問題(ti)(ti)。而代(dai)碼(ma)審(shen)計(ji)屬于白盒(he)(he)測(ce)(ce)(ce)(ce)試(shi)(shi)，白盒(he)(he)測(ce)(ce)(ce)(ce)試(shi)(shi)可(ke)以直接從(cong)代(dai)碼(ma)層次看漏洞(dong)，能(neng)(neng)夠發(fa)(fa)現(xian)(xian)(xian)一些黑(hei)盒(he)(he)測(ce)(ce)(ce)(ce)試(shi)(shi)發(fa)(fa)現(xian)(xian)(xian)不了的(de)(de)(de)漏洞(dong)，比如二次注(zhu)入，反序列化，xml實體注(zhu)入等。兩者雖(sui)然有區別，但(dan)在操作上可(ke)以相互補充(chong)，相互強化。例如：黑(hei)盒(he)(he)測(ce)(ce)(ce)(ce)試(shi)(shi)通過外層進(jin)行嗅探(tan)挖掘，白盒(he)(he)測(ce)(ce)(ce)(ce)試(shi)(shi)從(cong)內部充(chong)分發(fa)(fa)現(xian)(xian)(xian)源(yuan)代(dai)碼(ma)中的(de)(de)(de)漏洞(dong)風險(xian);代(dai)碼(ma)審(shen)計(ji)發(fa)(fa)現(xian)(xian)(xian)問題(ti)(ti)，滲(shen)透測(ce)(ce)(ce)(ce)試(shi)(shi)確定漏洞(dong)的(de)(de)(de)可(ke)利用(yong)性;滲(shen)透測(ce)(ce)(ce)(ce)試(shi)(shi)發(fa)(fa)現(xian)(xian)(xian)問題(ti)(ti)，代(dai)碼(ma)審(shen)計(ji)確定成(cheng)因。**好的(de)(de)(de)代(dai)碼(ma)審(shen)計(ji)審(shen)查