Web应用安全：过去，现在，未来(Public Ver)
- 1. Web Application Security -- Past, Present and Future axis 阿里巴巴 B2B - 信息安全部 2008-06-19
- 2. 唯一不变的就是变化本身
- 3. 过去 网络拓跋结构简单 网站建设技术简单 往往没有专职的安全维护人员 攻击者喜欢涂改页面 漏洞形式主要为溢出、暴力破解、文件包含、命令执行、注射 利用形式单一化
- 4. 现在：网络拓跋结构复杂 复杂的 ACL 服务器集群、负载均衡 各种网络设备（防火墙、 IDS ）
- 5. 现在：建站技术复杂 中间件的大量使用 MVC 模式的大量应用 各种语言的交互配合使用 flash 、 ajax 的复杂应用
- 6. 现在：专业安全工作者 专门的安全部门 专业安全公司，外包维护 大量安全产物的出现
- 7. 现在：攻击者以利益为目的 不再是恶作剧性质 互联网的价值越来越高 黑客产业链
- 8. 现在：漏洞形式的变化 以客户端漏洞为主 脚本漏洞为主导 （ XSS,SQL INJECT, CSRF ） DDOS, CC SPAM, BOT 钓鱼和诈骗
- 9. OWASP 2004 Top Ten A1 2004 Unvalidated Input A2 2004 Broken Access Control A3 2004 Broken Authentication and Session Management A4 2004 Cross Site Scripting A5 2004 Buffer Overflow A6 2004 Injection Flaws A7 2004 Improper Error Handling A8 2004 Insecure Storage A9 2004 Application Denial of Service A10 2004 Insecure Configuration Management
- 10. OWASP 2007 Top Ten
- 11. Hacking Demo
- 12. 现在：漏洞利用形式多样化 各种漏洞利用平台的出现 (METASPLOIT) exploit 趋向于多功能化 exploit 趋向于 anti-ids ， anti-antivirus 蠕虫化 各种形式后门的出现 僵尸网络
- 13. 未来 新技术的发展必然导致新的问题 传统的漏洞（缓冲区溢出）将慢慢消失 操作系统的漏洞逐渐减少 浏览器漏洞成为主流（浏览器将成为新一代的基于 WEB 的 OS ） web 软件漏洞成为研究的热门 手机操作系统将被广泛研究
- 14. 未来：新技术带来新的问题 HTML5 Flash 安全问题 Adobe AIR 安全 PDF 安全问题 Firefox3/ IE 8 的安全模型 新的框架 Web2.0 甚至是 Web3.0 对安全带来的冲击
- 15. 必须研究变化才能跟上变化
- 16. 目前我们有的 XXXXXXX XXXXXXX XXXXXXX XXXXXXX
- 17. 我们为什么要改进 安全是产物的一个特性，产物有安全需求 安全是一个持续的过程 深度防御思想 最小权限原则 Know your enemies Secure by Design Secure by Default
- 18. 我们该怎样改进 Fix (Bug) Prove (It) Find (Vulnerability)
- 19. 我们的现状 XXXXXXX XXXXXXX （ Find ） XXXXXXX (Fix) XXXXXXX (Proof) XXXXXXX XXXXXXX (Find) XXXXXXX (Fix) XXXXXXX (Proof)
- 20. 我们的现状 xxxxxxx xxxxxxx (Find) xxxxxxx (Fix) xxxxxxx (Proof ) xxxxxxx xxxxxxx (Find) xxxxxxx (Fix) xxxxxxx (Proof)
- 21. 我们的困难 安全与性能、功能的平衡 需要保护资产是什么？ 安全需要付出的成本 安全措施的效果很难量化 是否有切肤之痛？
- 22. 眼下需要做的事情 xxxxxxx xxxxxxx xxxxxxx xxxxxxx xxxxxxx xxxxxxx
- 23. 未来可能的发展方向 xxxxxxx xxxxxxx xxxxxxx xxxxxxx xxxxxxx xxxxxxx xxxxxxx
- 24. Thanks