韩可

(上海纽盾科技股份有限公司,上海 200438)

1 背景

1.1 全球面临软件安全危机

从我们对2018年网络威胁的研究中可以看出,Web应用程序黑客攻击是对组织和个人最频繁的攻击之一。被黑客入侵的网站可用于多种用途:散布恶意软件,窃取数据,发布广告或禁止的信息,进行欺诈或渗透内部网络。

Web应用的发展伴随着巨大的安全危机,解决漏洞问题是软件开发从业者和安全从业者们迫在眉睫的任务。

1.2 Web应用安全性测试的必要性

如果没有Web安全测试,程序上带有病毒,你的系统就会受到巨大影响,很容易成为黑客们的挑衅对象。刚上线系统对互联网环境的适应性比较差,代码审计可以充分挖掘代码中存在的安全问题;避免系统刚上线就遭受到黑客的重大攻击。应事先于黑客发觉系统的安全隐患,并提前部署好安全防御措施,保证系统的每一个环节在未知环境下都能经受得起黑客挑战。实践证明,保证代码质量最快捷有效的手段就是源代码的审计,而程序的安全性是否有保障在很大程度上取决于程序代码的质量,因此做好源代码审计是很有必要的[2]。

1.3 目标

在这项工作中,对软件开发人员进行安全代码审查的有效性进行了探索性分析,希望能够确定:(1)开发人员进行代码审查的效率如何以及其中的差异程度;(2)聘请的独立审核员的最佳数量;(3)是否可以提前预测哪些开发人员在执行安全审核方面最有效;(4)和审查工具的结果进行对比。……