建站
咨詢
售后
建站咨詢
新聞中心
本文由創(chuàng)新互聯(lián)（www.cdcxhl.com）小編為大家整理，本文主要介紹了小程序源碼需要上傳到服務(wù)器相關(guān)知識，希望對你有一定的參考價值和幫助，記得關(guān)注和收藏網(wǎng)址哦！
小程序源碼需要上傳到服務(wù)器嗎？
上傳到服務(wù)器，上傳到開發(fā)者工具，然后在小程序后臺提交審核。審核成功后，就可以使用了1-@ .com 1。在瀏覽器的任何頁面上，右鍵單擊并選擇查看源代碼。
2.此時可以打開源代碼文件。
產(chǎn)品入圍信創(chuàng)的流程？
工信部報名參加測試，安排專人等候工信部信息化發(fā)展司通知，到工信部大門口領(lǐng)取光盤。需要填寫的信息再次提交到工信部大門。測試時間通知后，到指定地點部署產(chǎn)品，提交源代碼、專利等資料。需要再次檢查源代碼。相關(guān)專家公司前來參觀測試。
經(jīng)過政審和技術(shù)審，對產(chǎn)品和公司進(jìn)行評分，分?jǐn)?shù)報中辦某局。專家會議決定本期該項目入圍名單，經(jīng)領(lǐng)導(dǎo) ■回顧。
新創(chuàng)檢測非常嚴(yán)格，不僅需要自主可控的產(chǎn)品，還需要一個又紅又專業(yè)的企業(yè)，很多項目缺一不可。
什么是代碼審計？
加密錢包安全審計:你的錢包安全嗎？近年來，數(shù)字錢包安全事件頻頻發(fā)生。
2019年11月19日，Ars Technica報告稱，兩個加密貨幣錢包數(shù)據(jù)泄露，220萬賬戶信息被盜。安全研究員特洛伊·亨特(Troy Hunt)證實，被盜數(shù)據(jù)來自加密貨幣錢包GateHub和RuneScape機(jī)器人提供商EpicBot的賬戶。
這不是Gatehub第一次遭遇數(shù)據(jù)泄露。據(jù)報道，去年6月，黑客入侵了大約100個XRP賬本錢包，導(dǎo)致近1000萬美元被盜。
2019年3月29日，比瑟姆盜竊案引起軒然大波。據(jù)推測，這件事是因為Bithumb擁有的g4ydomrxhege賬號的私鑰被黑客而開始的。
隨即，黑客將盜取的資金分散到各個交易所，包括火幣、HitBTC、WB、EXmo等。根據(jù)非官方數(shù)據(jù)和用戶估計，Bithumb遭受了超過300萬EOS幣(約1300萬美元)和2000萬XRP幣(約600萬美元)的損失。
由于數(shù)字貨幣的匿名性和去中心化，被盜資產(chǎn)在一定程度上難以追回。所以錢包的安全性很重要。
2020年8月9日，CertiK 的安全工程師在DEF CON安全大會上發(fā)表了主題為Exploit Cryptwall——用于Certik鏈 s Deepwallet。
此外，還有像Shapeshift這樣的公司，它們生產(chǎn)支持不同協(xié)議的錢包。
從安全的角度來看，加密錢包最重要的問題是防止攻擊者用戶的助記符和私鑰等信息。;錢包。
在過去的一年里，CertiK技術(shù)團(tuán)隊對幾款加密錢包進(jìn)行了測試和研究，在此分享基于軟件對不同類型的加密錢包進(jìn)行安全性評估的方法和流程。
加密錢包基本審計列表
評估一個應(yīng)用，我們需要知道它的工作原理→代碼實現(xiàn)是否符合最好的安全標(biāo)準(zhǔn)→如何糾正和改進(jìn)安全性不足的部分。
C——顯示敏感數(shù)據(jù)時，Android應(yīng)用程序會阻止用戶截圖嗎？iOS是否警告用戶不要截圖敏感數(shù)據(jù)？
應(yīng)用在后臺截圖中是否泄露敏感信息？
應(yīng)用程序是否檢測設(shè)備是否越獄/root？
應(yīng)用是否鎖定后臺服務(wù)器的證書？
應(yīng)用程序是否在應(yīng)用程序的日志中記錄敏感信息？
應(yīng)用程序是否包含錯誤配置的deeplink和intent，它們能否被利用？
應(yīng)用程序包是否混亂的代碼？
應(yīng)用是否實現(xiàn)了反調(diào)試功能？
應(yīng)用程序是否檢查應(yīng)用程序重新打包？
(iOS)iOS鑰匙扣中存儲的數(shù)據(jù)是否足夠安全？
應(yīng)用程序會受到鑰匙鏈數(shù)據(jù)持久性的影響嗎？
當(dāng)用戶輸入敏感信息時，應(yīng)用程序是否禁用自定義鍵盤？
該應(yīng)用程序使用安全嗎？"webview "要加載外部網(wǎng)站？
網(wǎng)絡(luò)錢包
對于一個完全去中心化的錢包來說，Web應(yīng)用正逐漸成為一個冷門的選擇。MyCrypto不允許用戶在web應(yīng)用中使用keystore/助記符/私鑰訪問錢包，MyEtherWallet也建議用戶不要這樣做。
相比其他三個平臺運行的錢包，以web應(yīng)用的形式釣魚錢包相對更容易；如果攻擊者入侵web服務(wù)器，通過在網(wǎng)頁中注入惡意JavaScript，就可以輕松用戶的錢包信息。
然而，一個安全構(gòu)建并經(jīng)過全面測試的網(wǎng)絡(luò)錢包仍然是用戶管理其加密資產(chǎn)的最佳選擇。
除了上述通用的基本審計類別，在評估客戶端web wallet時，我們還列出了以下需要審計的類別:
應(yīng)用程序中是否存在跨站點腳本XSS漏洞？
應(yīng)用中是否存在點擊劫持漏洞？
應(yīng)用程序是否有有效的內(nèi)容安全策略？
應(yīng)用程序中是否存在開放重定向漏洞？
應(yīng)用中是否存在HTML注入漏洞？
現(xiàn)在，網(wǎng)絡(luò)錢包很少使用cookie，但如果有，你應(yīng)該檢查一下:
屬性Cookie
跨站請求偽造(CSRF)
跨域資源共享(CORS)配置錯誤
除了基本的錢包功能之外，應(yīng)用程序還包含其他功能嗎？這些函數(shù)中是否存在任何可利用的漏洞？
上面沒有提到的OWASP十大漏洞。
擴(kuò)展錢包
Metamask是最著名和最常用的加密錢包之一，它是作為瀏覽器擴(kuò)展出現(xiàn)的。
在內(nèi)部，擴(kuò)展錢包的工作與web應(yīng)用程序非常相似。
不同的是，它包含獨特的組件，稱為內(nèi)容腳本和后臺腳本。
通過網(wǎng)站內(nèi)容腳本和后臺腳本傳遞事件或消息，與擴(kuò)展頁面進(jìn)行通信。
在評估擴(kuò)展錢包的過程中，最重要的事情之一是測試惡意網(wǎng)站是否可以在沒有用戶的情況下讀取或?qū)懭雽儆跀U(kuò)展錢包的數(shù)據(jù)。;的同意。
除了基本列表之外，以下是評估擴(kuò)展wallet時要檢查的審計類別:
擴(kuò)展需要什么權(quán)限？
分機(jī)如何決定允許哪個網(wǎng)站與分機(jī)錢包通信？
如何用w擴(kuò)展錢包Eb頁面交互？
惡意網(wǎng)站能否通過擴(kuò)展中的漏洞攻擊擴(kuò)展本身或瀏覽器中的其他頁面？
惡意網(wǎng)站可以在沒有用戶的情況下讀取或修改屬于擴(kuò)展的數(shù)據(jù)嗎？;s的同意？
錢包膨脹是否存在點擊劫持漏洞？
擴(kuò)展錢包(通常是后臺腳本)在處理消息之前是否檢查消息的來源？
應(yīng)用程序是否實施了有效的內(nèi)容安全策略？
電子桌面錢包
寫完了web應(yīng)用的代碼，為什么不用它來構(gòu)建一個電子版的桌面應(yīng)用呢？
過去測試的桌面錢包，80%左右是基于電子框架的。在測試基于電子的桌面應(yīng)用時，不僅要尋找web應(yīng)用可能存在的漏洞，還要檢查電子配置是否安全。
CertiK已經(jīng)分析了電子公司的脆弱性。;的桌面應(yīng)用程序。詳情可以點擊訪問這篇文章。
以下是評估基于電子桌面的電子錢包時要檢查的審計類別:
應(yīng)用程序使用什么版本的電子？
應(yīng)用程序是否加載遠(yuǎn)程內(nèi)容？
應(yīng)用程序是否禁用 "節(jié)點集成 "和 "enableRemoteModule "？
應(yīng)用程序是否啟用了 "上下文隔離和， "沙盒 "和 "網(wǎng)絡(luò)安全與技術(shù)選項？
應(yīng)用程序是否允許用戶從當(dāng)前錢包頁面跳轉(zhuǎn)到同一窗口中的任何外部頁面？
應(yīng)用程序是否實施了有效的內(nèi)容安全策略？
預(yù)加載腳本是否包含可能被濫用的代碼？
應(yīng)用程序是否將用戶輸入直接傳遞給一個危險的函數(shù)(比如 "開放外部 ")?
應(yīng)用程序會制定不安全的自定義協(xié)議嗎？
服務(wù)器端漏洞檢查列表
我們測試過的cryptowallet應(yīng)用程序中，超過一半沒有集中式服務(wù)器，它們直接連接到節(jié)點。
CertiK技術(shù)團(tuán)隊認(rèn)為這是一種減少攻擊面和保護(hù)用戶的方法。;隱私。
但是，如果應(yīng)用程序希望為客戶提供除帳戶管理和令牌傳輸之外的更多功能，那么應(yīng)用程序可能需要一個具有數(shù)據(jù)庫和服務(wù)器端代碼的集中式服務(wù)器。
服務(wù)器組件要測試的項目高度依賴于應(yīng)用程序的特征。
根據(jù)調(diào)研和與客戶接觸中發(fā)現(xiàn)的服務(wù)器端漏洞，我們整理了以下漏洞清單。當(dāng)然，它并不包含所有可能的服務(wù)器端漏洞。
認(rèn)證和授權(quán)
KYC及其有效性
比賽條件
云服務(wù)器配置錯誤
服務(wù)器配置錯誤
不安全直接對象引用(IDOR)
服務(wù)器請求偽造(SSRF)
不安全文件上傳
任何類型的注入(SQL、命令、模板)漏洞
任意文件讀/寫
業(yè)務(wù)邏輯錯誤
速度限制
拒絕服務(wù)
信息泄露
摘要
隨著技術(shù)的發(fā)展，黑客的欺詐和攻擊手段越來越多樣化。
CertiK安全技術(shù)團(tuán)隊希望通過分享加密錢包的隱患，讓用戶對數(shù)字貨幣錢包的安全問題有更清晰的認(rèn)識，提高警惕。
目前很多開發(fā)團(tuán)隊對安全的重視程度遠(yuǎn)遠(yuǎn)低于對業(yè)務(wù)的重視程度，對自己的錢包產(chǎn)品沒有足夠的安全保護(hù)。CertiK通過分享加密錢包的安全審計類別，期望加密錢包項目各方對產(chǎn)品安全標(biāo)準(zhǔn)有清晰的認(rèn)識，從而推動產(chǎn)品安全升級，共同保護(hù)用戶資產(chǎn)安全。
數(shù)字貨幣攻擊是一種多技術(shù)綜合攻擊，需要考慮數(shù)字貨幣管理流通過程中涉及的所有應(yīng)用安全，包括計算機(jī)硬件、軟件、服務(wù)軟件如錢包、智能合約等。
加密錢包需要注意對潛在攻擊的檢測和監(jiān)控，避免被同一多次攻擊，加強(qiáng)數(shù)字貨幣賬戶的安全保護(hù)方法，使用物理加密離線冷存儲保存重要的數(shù)字貨幣。此外，還需要聘請專業(yè)的安全團(tuán)隊進(jìn)行網(wǎng)絡(luò)級測試，通過遠(yuǎn)程模擬攻擊尋找漏洞。
標(biāo)題名稱：源代碼安全審查（微信小程序源碼需要上傳到服務(wù)器嗎）
文章URL：http://www.dlmjj.cn/article/djgijcj.html
