3
李女士
网络营销
扫一扫，微信联系
目录:广电计量检测集团股份有限公司>>信息化和数字化>>软件测评>> 软件源代码安全检测
服务范围
软件源代码安全检测：源代码审计服务的范围包括使用ASP、ASPNET（VB/C#）、JSP（JAVA）、PHP等主流语言开发的B/S应用系统、使用C++、JAVA、C#、VB等主流语言开发的C/S应用系统，以及使用XML语言编写的文件、SQL语言和数据库存储过程等。
服务依据
软件源代码安全检测：
GB/T 39412-2020《信息安全技术 代码安全审计规范》
GB/T 34943-2017《C/C++语言源代码漏洞测试规范》
GB/T 34944-2017《Java语言源代码漏洞测试规范》
GB/T 34946-2017《C#语言源代码漏洞测试规范》
服务流程
服务内容
| 序号 | 测试项 | 测试说明 |
| 1 | 系统所用开源框架 | 包含java反序列化漏洞，导致远程代码执行。Spring、Struts2的相关安全。 |
| 2 | 应用代码关注要素 | 日志伪造漏洞，密码明文存储，资源管理，调试程序残留，二次注入，反序列化。 |
| 3 | API滥用 | 不安全的数据库调用、随机数创建、内存管理调用、字符串操作，危险的系统方法调用。 |
| 4 | 源代码设计 | 不安全的域、方法、类修饰符未使用的外部引用、代码。 |
| 5 | 错误处理不当 | 程序异常处理、返回值用法、空指针、日志记录。 |
| 6 | 直接对象引用 | 直接引用数据库中的数据、文件系统、内存空间。 |
| 7 | 资源滥用 | 不安全的文件创建／修改／删除，竞争冲突，内存泄露。 |
| 8 | 业务逻辑错误 | 欺骗密码找回功能，规避交易限制,越权缺陷Cookies和session的问题。 |
| 9 | 规范性权限配置 | 数据库配置规范，Web服务的权限配置SQL语句编写规范。 |
服务优势
具备CNAS、CMA资质，可出具报告
具备CCRC风险评估、安全集成、安全运维、应急处置服务资质，可出具相关检测报告
具备ISO 27001、ISO 20000、ISO 9001等服务资质，管理体系完善
提供“咨询-检测-运营-培训"一站式信息安全技术服务
拥有多名国际专家，核心团队来自于头部安全公司和检测机构，具有丰富的行业资源和技术能力，具备资深的国际认证咨询和检测
服务经验
主导和参与国家、行业、团体标准修订100+项，其中信息安全领域15项
提供“标准化+定制化"特色服务
承担通信、电力、轨道交通、汽车、金融、医疗、能源、政企、等领域大型项目，服务经验丰富
全国布局五大实验室，覆盖全国提供服务，提供就近就地、快速响应的服务
客户收益
明确安全隐患点
提高安全开发意识
提高应用系统自身安全防护能力
降低软件缺陷修复成本
降低源代码出现的安全漏洞
服务案例
山东烟草某办案系统代码审计
华栖云某管理系统代码审计
铁路关键信息基础设施开源代码安全维护与漏洞检测技术研究
国网某大数据服务系统软件代码审计
环保在线