針對惡意攻擊的防禦性編程

Question

我工作的公司正在重新開發外部使用的內部產品。

該產品最初將在C＃中使用WPF開發，然後移植到Silverlight。

其中一個焦點是針對惡意攻擊進行編碼，例如， SQL注入等

問題：

1. 誰能推薦指着安全「最佳實踐」文章的網址。
2. 任何人都可以推薦分析工具來分析代碼來識別弱點。如果可能，我們會將該工具包含在我們的持續集成腳本中。

Answer 1

嘗試MSDN上的以下文章：Security (How Do I in C#)。

Answer 2

我發現最好的資源是在這裏：

http://www.owasp.org/index.php/Main_Page

在該網站，我會從這裏開始：

http://www.owasp.org/index.php/Top_10_2007

前10位的網站漏洞，但這些概念適用於所有類型的應用程序。以我個人的觀點來看，在學習安全編碼方面，你真的無法從起點上做得更好。

本網站提供了最佳實踐和工具，並且無論您的技能水平如何，都可以讓所有內容都可以理解。

*增加*

另一個很好的資源是MSDN文檔，因爲你的問題被標記爲C＃。

http://msdn.microsoft.com/en-us/library/ms998408.aspx

Answer 3

我想首先是安全發展就意味着三個步驟：

識別和理解大局：什麼可能出錯

這意味着理解一個漏洞的技術方面，以及它如何幫助製造事情出錯了。

通常情況下，我會使用OWASP的前10個Web應用程序安全漏洞（google：owasp top 10 2007）。

如果你不明白的話，那麼請指點。理解這樣的文檔並不直接告訴你如何構建安全代碼，但它是你對安全開發理解水平的一個很好的指標。

查找導致安全開發

雖然許多文件告訴你的事情怎麼可能出問題，少的資源實際上是告訴你如何避免它們在一般的方式很好的通用做法。

目前，我主要推薦以下資源：

• 大衛·魯克的「安全開發原則」（谷歌：安全發展的大衛車原則）
• OWASP十大安全漏洞保護部分頁面（每個條目在頂部10的在線版本）點擊

查找爲您量身定做技術

資源

獲取使用您所說的語言告訴您「如何做到這一點」的資源。通常情況下，C＃。 MSDN門戶爲開發人員提供了許多安全檢查表（http://msdn.microsoft.com/en-us/library/ms998408.aspx）。最後，進入它：連接到應用程序安全的常規輸入，查找博客，閱讀新聞（使用一些漏洞名稱或單詞（如「應用程序安全性」或「安全開發」）構建Google警報），並查看會發生什麼情況。

希望它有幫助。

某人

PS：抱歉「谷歌」的鏈接，我是一個新用戶，只能在我的答案:(