互聯(lián)網(wǎng)公司通用XSS解決方案探討

1、互聯(lián)網(wǎng)公司通用XSS解決方案探討d4rkwind百度自我介紹暗夜?jié)擄L(fēng)/d4rkwind百度 高級(jí)安全工程師mere#提綱問題現(xiàn)狀解決思路付諸實(shí)踐經(jīng)驗(yàn)總結(jié)我們遇到什么樣的問題現(xiàn)狀？問題現(xiàn)狀問題現(xiàn)狀數(shù)量足夠多問題現(xiàn)狀“新型”攻擊手法普及移動(dòng)/云前項(xiàng)收費(fèi)問題現(xiàn)狀戰(zhàn)略必須擁有安全保障解決當(dāng)前問題，我們的思路是什么？解決思路避免出現(xiàn)開發(fā)環(huán)節(jié)安全保障測(cè)試環(huán)節(jié)安全保障及時(shí)發(fā)現(xiàn)自行發(fā)現(xiàn)主動(dòng)獲取降低危害保護(hù)重要系統(tǒng)保護(hù)認(rèn)證會(huì)話解決思路基于上述思路，如何付諸實(shí)踐？付諸實(shí)踐付諸實(shí)踐開發(fā)環(huán)節(jié)發(fā)布規(guī)范場(chǎng)景方案調(diào)研模板種類比例開發(fā)工具覆蓋度準(zhǔn)確率嵌入流程覆蓋度可實(shí)施性付諸實(shí)踐測(cè)試環(huán)節(jié)掃描工具準(zhǔn)確率速度掃描平臺(tái)穩(wěn)定API嵌

2、入流程覆蓋度可實(shí)施性例行安全掃描流量/日志挖掘付諸實(shí)踐自行發(fā)現(xiàn)全流量URL庫(kù)掃描工具/平臺(tái)運(yùn)維平臺(tái)日志挖掘付諸實(shí)踐主動(dòng)獲取Wooyun安全響應(yīng)中心重要系統(tǒng)免受其他系統(tǒng)影響：統(tǒng)一登錄分散認(rèn)證重要系統(tǒng)自身免受XSS影響：CSP響應(yīng)頭設(shè)置付諸實(shí)踐保護(hù)重要系統(tǒng)unsafe.passport.BDUSS容易被盜Passport.unsafeimportantotheraotherb保護(hù)認(rèn)證會(huì)話：會(huì)話HttpOnly化付諸實(shí)踐保護(hù)認(rèn)證會(huì)話數(shù)據(jù)證明PC端測(cè)試WAP端測(cè)試排查修復(fù)代碼庫(kù)排查產(chǎn)品線排查修復(fù)上線小流量上線全流量上線我們近年得到的一些經(jīng)驗(yàn)總結(jié)經(jīng)驗(yàn)總結(jié)經(jīng)驗(yàn)總結(jié)選準(zhǔn)對(duì)象，把握推動(dòng)順序HttpOnlyCSP統(tǒng)一登錄分散認(rèn)證模板安全完美方案？背景：IPU統(tǒng)一登錄分散認(rèn)證核心思想： BDUSS+STOKEN，BDUSS共用，STOKEN分散在重要產(chǎn)品線統(tǒng)一登錄分散認(rèn)證背景：模板代碼自動(dòng)化安全檢查變量輸出場(chǎng)景安全轉(zhuǎn)義方法HTML標(biāo)簽中或標(biāo)簽屬性值中HTML編碼HTML標(biāo)簽鏈接屬性值中URL編碼HTML標(biāo)簽事件屬性值中Javascript轉(zhuǎn)義+HTML編碼Script標(biāo)簽中Javascript轉(zhuǎn)義Json數(shù)據(jù)中HTML編碼+Javascript轉(zhuǎn)義Callback回調(diào)函數(shù)名Callback轉(zhuǎn)義其他禁止效果：模板代