互联网公司通用 XSS 解决方案探 讨 百度. 自我介绍 暗夜潜风 /d4rkwind 百度 高级安全工程师 mere#vip.qq.com.

Slides:



Advertisements
Similar presentations
移动时代的微信运营与思考 中吴网 杨 波. 微信、微信公众号的现状  微信和 WeChat 的合并月活跃账户数达到 6.00 亿  微信里每天超过 2 亿次分享给好友、每天超过 1.8 亿次分享到朋友圈  各品牌的微信公众账号总数已经超过 1000 万个  微信城市服务开放平台目前已覆盖 10.
Advertisements

醫學美學之我見ー肉毒桿菌 班級:應日三乙 姓名:蔡雅卉 學號: 497E0076. 前言 現在的人,已經把 整型看做是微不足 道的事情了。即使 只是戴牙套、局部 雷射、割雙眼皮、 打美白針、肉毒桿 菌等等,都可以在 身體上做不同的改 變,而讓自己更滿 意自己的外表。
月經異常的原因及警訊 組員: 陳少康、張康樂、許晉愷、何曄、方泠瑩、張 顓麟、蘇梓喬、溫鵬皓、林雅雯.
說明事項  大陸交換學習近況  大陸姐妹校介紹  申請資格和程序  研究生補助 大陸交換學習近況 2009 年秋首次進行,計有 6 校共 20 位學生來校交換學習。 來校交換生.
年終工作獎金 及考績獎金 法規與實務 苗栗縣政府人事處 副處長 陳 坤 榮 中華民國102年1月25日.
消失的吸管 隊名:吸管應該消失才隊.
助學工作說明會 及 教育訓練.
師資生修讀教育學程 重點提醒 師資培育暨就業輔導中心.
文書檔案組Q&A 崇右技術學院 文書檔案組 Q & A 總務處.
公職人員財產信託簡介 第一銀行信託處 編製.
經分表聘用兼任助理流程 完成 新增/修改 經分表 計畫無聘任兼任助理(新增) 紙本送所屬單位審核 計畫聘任兼任助理(新增)
未婚懷孕:你想清楚了嗎 瑞芳國中 林碧欣.
三国演义(关羽) 俞凱翔 和 陈劲恩 (6-7HCL).
國科會經費報銷說明 報告人:陳秀合 分 機: 年11月 12日(一).
讲故事训练 授课人:田轶.
實用技能學程答客問 Q&A 大明高中附設進修學校 教導處 編製.
第十一課 菜園 6-11.
畜牧類天然災害查報 及救助作業簡介 臺南市政府農業局畜產科 李東仁 臺南市政府農業局畜產科.
財團法人台北市任兆璋修女林美智老師教育基金會
智慧校园的利用.
热点五 加强未成年人思想道德建设 关心下一代人健康茁壮成长.
校本选修课 第三专题 西藏问题 北京师大二附中 李文燕.
地税政策发布 顺德地税局纳税服务局 2012年1月20日.
100學年度719班 親師懇談.
社團資料製作 亞東技術學院課外組 岳擎天
道路、管線事故緊急應變處理課程.
財團法人台北市任兆璋修女林美智老師教育基金會
監察院公職人員財產申報處 編製 報告人:林世忠
花的構造- (資料參考--鄭元春 植物Q&A一書) 花瓣 花萼 雌蕊 雄蕊.
認識股票 認識股票.
103年度身心障礙福利機構評鑑 日間及住宿機構指標說明 ~會計及財務管理~
正修科技大學教學發展中心 教師教學觀摩與經驗分享 電子工程系 張法憲副教授.
屏東縣政府對民間團體補助經費作業要點 & 簡易計畫書撰寫概要與核銷注意事項
--洲仔尾的鹼菜 與櫻桃鴨的結合-- 鴨賞的故事.
俄语字母的发音体系 阅读规则.
戲水安全.
外僑扣繳實務講習 1.
科學科 污染 空氣 成因 的 : 題目 及 減少空氣污染的方法 陳玉玲 (4) 姓名 : 去到目錄.
蘇軾詞的賞析
職場性騷擾相關法 律責任-以上司對 下屬性騷擾為例
柯奕宏(06) 王予亨(13) 郭秉逸(15) 楊雯凈(23) 顏佑瑩(32)
第十五章 传播学调查研究方法.
自然與生活科技領域 認識太陽能 蘇紋琪、石明玉.
主講人:曲軒 協理 就業情報資訊 日期:2003年5月8日
衛生筷,衛生嗎? 綠的關懷協會 常務理事 董雅坋.
 全能的天才畫家- 李奧納多‧達文西 (西元1452年-1519年) 指導老師:袁淑芬老師 製作人:饒佩芯.
高粱酒香-金門城.
讀報教育 報告者:施子慧 資料來源:徐瑞美、施子慧.
103年度 健康促進學校輔導與網站維護─ 「臺灣健康促進學校之網站特色介紹」 張子超 教授
107年勞動基準法修法重點解析 高雄市政府勞工局.
國立中山大學管理學院 國際人才培育中心 大專人才培訓就業學程.
開課單位作業流程及Q&A 開啟衛生署積分系統首頁 畫面如下頁.
認識我的故鄉_台中市.
精算假設品質的基本要求 精算假設應提出明確的假設數值,同時應提供實際經驗率資料以作為假設訂定之依據,且精算人員應說明實際經驗率與假設數值間的合理關係。 精算假設若由其他單位提供(例如:利率或投資報酬率假設由投資部門提供),精算人員仍應了解其假設的方法,並就其假設合理性及假設方法提出意見。 精算假設若與前一年相較有所變更時,精算人員應說明假設改變的原因,對於有改變的精算假設數值宜列對照表比較並說明。精算人員應評估假設的改變對財務影響是否顯著,若顯著則應提供量化數值以說明其影響程度。
臺南市 107學年度 國中生志願選填試探與輔導知能研習
1.E化系統 之 專案登錄 核銷作業 2.常見退件原因 3.其他注意事項
網站HOLMES DATA監測代碼.
精忠报国  演唱:屠洪纲 作词:陈涛 作曲:张宏光  狼烟起 江山北望  龙起卷 马长嘶 剑气如霜  心似黄河水茫茫  二十年 纵横间 谁能相抗  恨欲狂 长刀所向  多少手足忠魂埋骨它乡  何惜百死报家国  忍叹惜 更无语 血泪满眶  马蹄南去 人北望  人北望 草青黄 尘飞扬  我愿守土复开疆  堂堂中国要让四方来贺.
國中志願選填試探與輔導知能研習 『學校適性輔導實務分享』 2015年12月1日(二) 分享者:蔡幸君.
樂樂請假了 尊重的故事 資料來源:臺北縣國民小學品德教育手冊 故事來源:臺北縣國民小學品德教育手冊 網路小故事
聽聽那冷雨---重點摘要 二愛 王煜榕.
2011年版大學學系探索量表測驗結果說明 輔導室 楊欣翰老師.
中小學教師科博館教學導覽教師研習工作坊 國立自然科學博物館 科學教育組 葉蓉樺博士.
喜雨亭記 國二甲 S 陳姿婷.
憲政與民主 應化3A 邱泓明.
101學年度繁星推薦校內甄選學生說明會 海山高中輔導處
培僑小學 成功父母學堂 常識科專題研習工作坊
古蹟知性之旅 我和新港奉天宮有個約 報告人:陳 映 竹 傅 湘 甯.
104年度自我評鑑 學術單位內部評鑑工作研習會.
訪談地點:高雄縣大社鄉便當店 組員:王佩儀 B 王紀璇 B 許乃心 A
Presentation transcript:

互联网公司通用 XSS 解决方案探 讨 百度

自我介绍 暗夜潜风 /d4rkwind 百度 高级安全工程师 mere#vip.qq.com

提纲 问题现状 解决思路 付诸实践 经验总结

我们遇到什么样的问题现状? 问题现状

问题现状 —— 数量足够多

问题现状 ——“ 新型 ” 攻击手法普及

移动 / 云 前项收费 …… 问题现状 —— 战略必须拥有安全保障

解决当前问题,我们的思路是什么? 解决思路

避免出现 开发环节安全保障 测试环节安全保障 及时发现 自行发现 主动获取 降低危害 保护重要系统 保护认证会话 解决思路

基于上述思路,如何付诸实践? 付诸实践

付诸实践 —— 开发环节 发布规范 场景 方案 调研模板 种类 比例 开发工具 覆盖度 准确率 嵌入流程 覆盖度 可实施性

付诸实践 —— 测试环节 扫描工具 准确率 速度 扫描平台 稳定 API 嵌入流程 覆盖度 可实施性

例行安全扫描 流量 / 日志挖掘 付诸实践 —— 自行发现 全流量 URL 库 扫描工具 / 平台 运维平台 日志挖掘

sec.baidu.com 付诸实践 —— 主动获取 Wooyun 安全响应中心

重要系统免受其他系统影响:统一登录分散认证 重要系统自身免受 XSS 影响: CSP 响应头设置 付诸实践 —— 保护重要系统 unsafe. baidu.com important. baidu.com passport. baidu.com BDUS S 容易被盗 Passport.baidu.com unsafe import ant othera otherb

保护认证会话:会话 HttpOnly 化 付诸实践 —— 保护认证会话 PC 端测试 WAP 端测试 数据证明 代码库排查 产品线排查修 复 排查修复 小流量上线 全流量上线 上线

我们近年得到的一些经验总结 经验总结

经验总结 —— 选准对象,把握推动顺序 HttpOnly CSP 统一登录 分散认证 模板安全 完美方案?

背景: Important.baidu.com Passport.baidu.com Unsafe.baidu.com 统一登录分散认证

核心思想: BDUSS+STOKEN , BDUSS 共用, STOKEN 分散在重要产 品线 统一登录分散认证

背景: 模板代码自动化安全检查 变量输出场景安全转义方法 HTML 标签中或标签属性值中 HTML 编码 HTML 标签链接属性值中 URL 编码 HTML 标签事件属性值中 Javascript 转义 +HTML 编码 Script 标签中 Javascript 转义 Json 数据中 HTML 编码 +Javascript 转义 Callback 回调函数名 Callback 转义 其他禁止

效果: 模板代码自动化安全检查

现场演示: 模板代码自动化安全转义

广告 —— 百度安全团队欢迎您~ hr.baidu.com

Thanks Q&A