代码安全审计规范

1. 范围

规定代码安全的审计过程及方法，描述软件代码安全缺陷的典型审计指标。本规范的审计活动的主要对象是代码，主要针对代码层面的安全问题，不包含需求分析、设计、测试、部署配置、运维等方面的安全问题。
本标准适用于执行代码安全设计和相关测试工作

2. 规范性引用文件

• GB/25069 信息安全术语 术语

3. 术语、定义和缩略语

3.1 术语和定义

3.1.1 代码安全审计 code security audit

一种以发现代码安全缺陷和违反代码安全规范为目标的安全性分析。

3.1.2 安全缺陷 security defect

代码中存在的某种破坏软件安全能力的问题、错误。

3.1.3 跨站脚本攻击 cross sit script

恶意攻击者向WEB页面里面插入恶意HTML代码，当用户浏览该页面时，嵌入到WEB里面的HTML代码会被执行，从而达到恶意用户的特殊目的。

3.1.4 缓存溢出 buffer overflow

当应用程序向为某特定数据结构分配的内存空间边界之外写入数据时，即会发生缓冲区溢出。

3.1.5 线程访问安全 thread access safe

多线程访问时才用了加锁机制，当一个线程访问该类的某个数据时进行保护，其他线程不能进行访问直到该线程读取完，其他线程才能使用。

3.1.6 死锁 deadlock

指两个或两个以上的进程在执行过程中，由于竞争资源由于彼此同心而造成的一种阻塞现象，若无外力作用，他们将无法进行下去。

3.1.7 错误 error

系统运行中出现非预期问题，可能导致系统崩溃或者暂停运行。

3.1.8 特殊元素 special elements

字节、字符或字的序列，用于特定表达式或语言中分隔数据的不同部分，如CRLF（回车/换行）被用于MIME消息中作为多个头部之间的分隔符，是特殊元素。

3.1.9 异常

导致程序中断运行的一种指令流，如果不对异常进行正确的处理，则可能导致程序中断执行。

3.1.10 SQL注入 SQL injection

通过把SQL命令插入到WEB表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行的恶意的SQL命令。

3.2 缩略语

• HTML： Hyper Text Transfer Protocol （超级文本传输协议）
• SQL： Structured Query Language （结构化查询语言）