源代码检测，内附实际案例

源代码安全审计是依据国标GB/T 34944-2017、GB/T 34944-2017，结合专业源代码扫描工具对各种程序语言编写的源代码进行安全审计。能够为客户提供包括安全编码规范咨询、源代码安全现状评测、定位源代码中存在的安全漏洞、分析漏洞风险、给出修改建议等一系列服务。

源代码检测服务详解

1、安全编码规范及规则咨询

在软件编码之前，基于评测中心丰富的安全测试经验，为系统开发人员提供安全编码规范、规则的咨询和建议，提前避免不安全的编码方式，提高源代码自身的安全性。

2、源代码安全评测

针对系统开发过程中的编码阶段、测试阶段、交付验收阶段、对各阶段系统源代码进行安全审计检测，利用数据流分析引擎、语义分析引擎、控制流分析引擎等技术，采用专业的源代码安全审计工具对源代码安全问题进行分析和检测并验证，从而对源代码安全漏洞进行定级，给出安全漏洞分析报告等，帮助软件开发的管理人员统计和分析当前阶段软件安全的风险、趋势，跟踪和定位软件安全漏洞，提供软件安全质量方面的真实状态信息。

3、源代码整改咨询

依据源代码安全测评结果，对源代码安全漏洞进行人工审计，并依据安全漏洞问题给出相应修改建议，协助系统开发人员对源代码进行修改。

案例展示:源代码漏洞检测

本次合作的客户主要致力于帮助企业构建数据根基平台,数据驱动全场景的业务分析与决策，结合全渠道精准营销的行动与反馈，实现数字化营销。客户自有产品可通过全渠道的数据采集与全域用户ID打通，全场景多维度数据分析，全通道的精准用户触达，帮助企业实现数字化经营。

依据客户的实际需求，确定对目标系统开展代码审计工作，由中心安全服务人员对系统的源代码和软件架构的安全性、可靠性进行全面的安全检查 。本次安全检测发现1943个低风险漏洞、12个中危漏洞、158个高危漏洞和76个紧急漏洞。其中低危漏洞为用户名枚举和错误页面信息返回，高危漏洞为存储型XSS。

针对以上漏洞，中心评测工程师协助客户对其进行了修复，代码中不包含后门、隐蔽通道和高危漏洞。

基于此次代码审计评测，中心从多个方面为客户提供了安全建议，如:定期代码抽样审计、系统上线前进行全面检测等，确保最大程度为客户减少非必要的损失。