简介：自从软件诞生起，软件的安全性一直就是每一个程序员不可回避的问题。随着计算机语言的不断进化和互联网时代的到来，软件所面临的安全性问题也在发生着巨大改变。在这些软件安全问题中，由于没有在软件设计和开发的过程中引入安全开发和测试的情况占了很大比例。在本文中，我们就将结合示例来讨论一下如何能够在软件开发生命周期中进行软件安全开发和测试的问题。

　　序言

　　自从软件诞生起，软件的安全性一直就是每一个程序员不可回避的问题。面对“如何开发出具有高安全性软件”与“如何利用软件漏洞进行攻击”，安全防护人员和黑客，就像中国武侠中的白道高手与黑道高手一样，在相互的较量中提升自己的功力。随着计算机语言的不断进化和互联网时代的到来，软件所面临的安全性问题也在发生着巨大改变。如果将最初的单机病毒攻击成为软件安全的第一纪，网络攻击称为第二纪的话，那我们现在正处在软件安全的第三纪 -- 应用攻击。Gartner 的数据显示，75% 的黑客攻击发生在应用层。而来自 NIST 的数据更为惊人，有 92% 被发现的漏洞属于应用层而不是网络。

　　图 1. 来自 Gartner 和 NIST 的数据

　　在这些软件安全问题中，由于没有在软件设计和开发的过程中引入安全开发和测试的情况占了很大比例。其实，从 1968 年软件工程诞生以来，人们一直企图在软件开发生命周期（SDLC）中引入安全开发的理念和方法，并由此出现了安全开发生命周期（Secure Development Lifecycle）。在本文中，我们就将结合示例来讨论一下如何能够在软件开发生命周期中进行软件安全开发和测试的问题。

　　图 2. 安全开发生命周期示意图

　　软件安全的“闻问望切”—基于黑盒的渗透测试

　　无论是在传统的瀑布模型开发还是在方兴未艾的敏捷软件开发中，软件测试都是重中之重。基于黑盒的渗透测试，是一种有效地将软件安全性测试引入软件开发生命周期（SDLC）中的方法。目前，许多软件厂商都有针对各自技术研发出的渗透测试产品，如 IBM 的 AppScan、HP 的 WebInspect 等。说到渗透测试，就不能不提到由 Barton Miller 和 Lars Frederickson 等人在 1990 年提出的 Fuzz 技术。传说在 1989 年一个雷电交加的夜晚，Barton Miller 用 Modem 连接自己的主机时，一个闪电过后，电路中的高低位互换了，Miller 由此想到了利用“crash、break、destroy”的方式来进行软件测试的技术——fuzz。著名的 Fuzz 工具有 Fuzzing 网络协议的 SPIKE、大桃子 Peach等等。Fuzz 技术自上世纪 90 年代初期起，慢慢的广泛应用于系统平台测试，应用软件测试和网络安全测试中。

　　下面我们将展示如何针对一个 Web 应用进行基于安全漏洞检测的渗透测试。在这里我们选用 IBM Rational AppScan Standard Edition V7.8 （以下简称 AppScan）作为测试工具。

　　首先，我们在 AppScan 里建立一个新的扫描。AppScan 提供了许多预定义的扫描模板来帮助工程师建立针对不同 Web 应用和 Web Service 的扫描。

　　图 3. 用 Rational AppScan 模板创建扫描