代码安全技术

A. 怎样加强代码的安全性

不知道你用的是什么语言，.NET的话可以FileSystemWatcher控件实时监控文件变化，文件受改动触发你要的事件，这样可以有效防止目录内文件的完整性

B. 源代码防泄密，有哪种技术手段

主要有三种，1）文档加密软件；2）SDC沙盒；3）DSA数据安全隔离；不过从技术与实践反馈来看，DSA数据安全隔离使用者比较多。

C. 恶意代码攻击技术是如何实现的

所谓恶意代码，是指网页中使用了利用WSH漏洞来修改系统的一段代码(但是由于它并不具备传染性和自我复制这两个病毒的基本特征，因此不能称作病毒)。WSH是“Windows Scripting Host”的缩写，是微软提供的一种脚本解释机制，它使得脚本文件(扩展名为 .js、.vbs等)能够直接在Windows桌面或命令提示符下运行(您可以搜索一下您windows安装目录下的 *.js或者*.vbs文件，然后双击运行看看效果)。 也就是说，我们可以从卸载WSH、阻止恶意代码运行、实时保护的任意一个方面入手，均可以达到保护windows 系统不被恶意代码篡改的目的。一、卸载WSH微软提供WSH的初衷是为了让管理员通过脚本程序更方便地管理系统，实现批处理或者自动化功能。但是这个美好的愿望被恶意代码利用而使得WSH成为系统中非常薄弱的环节。其实，绝大多数普通用户并不需要WSH，因此我们完全可以把它卸载掉。具体方法如下：1、在Windows 98中删除WSH，打开“添加/删除”程序，选择“Windows 设置/附件”，并单击“详细资料”，取消“Windows Scripting Host”选项，完成后单击［确定］按钮即可。 2、在Windows 2000中删除WSH的方法是，双击“我的电脑”图标，然后执行“工具/文件夹选项”命令，选择“文件类型”选项卡，找到“VBS VBScript Script File”选项，并单击［删除］按钮，最后单击［确定］即可。 二、禁止脚本运行如果您不愿意删除WSH组件，可以考虑用如下方法禁止脚本的运行：1、打开资源管理器，点击“工具->文件夹选项->文件类型”，在文件类型中将后缀名为“VBS、VBE、JS、JSE、WSH、WSF”项全部删除，这样这些文件就不会被执行了(双击在前面您搜索到的*.js、*.vbs文件试试)。2、打开IE，点击“工具->Internet选项->安全->自定义级别”，在“安全设置”对话框中，将其中所有的ActiveX插件和控件以及与java相关的组件全部禁止即可。不过这样做以后的一个不便之处就是如果网页中使用了 js 或者 vbs 脚本，则该网也将不能正常显示。三、实时保护IE也许您觉得上面的两种方法都太绝对，并不能满足自己灵活的需要，那么可以考虑安装上网助手(在地址栏中输入“上网助手”或者“zs.3721.com”进入网站，在弹出的安装提示对话框中点击“是”)。安装之后，上网助手会在屏幕右下角的系统托盘处出现蓝色图标，点击它，可以看到其“保护IE”项被选中，表示实时保护IE的功能正在生效。当然，除了以上方法以外，及时给系统和IE打上最新的补丁、给防病毒软件及时升级病毒数据库、不要轻易地去浏览一些来历不明的网站等等，都是很好的习惯，能最大限度的把恶意代码拒之门外。

D. 网站源代码安全问题

在国内来说万网的空间比较安全.
用正规的空间商, 不要轻易给第三个ftp密码
用正规的安全的源码,一般来说就不会被黑,被复制的
当然,如果你要更保险些,可台对源码进行加密

E. 软件公司要如何保障源代码的安全不会被外泄，不会被员工泄漏

先回答你的问题，然后扩展开说说我的看法。 有些公司是这样做的：为工作场所划分保护级别。 为每台服务器和计算机定义保护级别，并制定相应保护级别下的保护策略，包括授权和访问方法。 将场所分为工作区和上网区，工作区不连外网，上网区是员工共享的非专用机。 封闭所有计算机的外部接口，比如USB口、光驱没有刻录功能、disable蓝牙，不允许计算机和U盘或手机等外设交换数据。 所有对外发的数据统一由高层来接口审核。所有计算机安装后台监控软件，监控操作行为。 普通员工不配置笔记本电脑。 办公空间安装摄像头监视异常行为。 和员工签署保密协议。等等上面的措施的确能起到一定保护作用，但是不能保证绝对不发生问题：公司开展业务必然要和外部进行信息交流，即使在硬件上做到了上述这些，如果真有居心不良的员工，那么只是增加了作案的难度，只要能上网，想把信息传到外部还是有办法的，比如把想窃取的信息通过编码的方式打包到正常外发的文件里。 可以在摄像头死角的地方，暴力破坏计算机，或者把计算机硬盘拆下来拿回去研究。 最不济还可以把核心代码写到笔记上，你总不能不让员工写读书笔记吧。 互联网公司产品的很多代码都是基于开源框架演化来的，有些开源许可是基于GPL的，是要求其衍生物是免费开放源代码的。虽然有很多公司会取巧地绕开这个限定条件。 对于游戏公司，设计、策划、代码的保护是蛮重要的，因为开发期的游戏设计一旦外漏，很可能就失去了市场先机。 照我看，除了专用算法、特定的格式保护、极少数产品本身固有的设计、某些特殊行业（比如网游）之外，很多代码都是通用的，可开放的。有以下一些建议：清晰自己所在的行业特点，对代码外泄做个风险评估，确定保护代码安全的思路和策略； 划分核心代码和非核心代码，分别制定保护策略； 在核心代码上下功夫，能接触这些代码的人一定是可以信任的人，尽可能地少，但也要考虑备份人选； 把核心代码做成编译好的库供程序调用，这样就能降低核心代码泄漏的风险； 员工入职签署保密协议； 选拔高层注重品德和忠诚度，签订竞业保护协议； 最后公司领导要有一个开放心态，正因为有开源的出现，才促进了计算机软件的发展，固守着自己的一亩三分地，早晚要被对手超越。想在竞争中脱颖而出，首先要去除管理者的保守心态。开放、公平竞争才让公司更有底气和信心。

F. 下面有关java代码安全性的叙述哪些是对的

下面有关Java代码安全性的叙述，( )是对的。 Ⅰ：字节码校验器加载查询执行需要的所有类。 Ⅱ：运行时解释器执行代码。 Ⅲ：在运行时，字节码被加载，验证后在解释器里面运行。 Ⅳ：类加载器通过分离本机文件系统的类和从网络导入的类增加安全性。
A．Ⅱ、Ⅲ
B．Ⅱ、Ⅲ、Ⅳ
C．Ⅰ、Ⅲ、Ⅳ
D．Ⅲ、Ⅳ

请帮忙给出正确答案和分析，谢谢！

正确答案：B
解析：该题考查考生对Java程序代码安全性的掌握。Java程序运行的过程是这样的：类加载器加载程序运行所需要的所有类，它通过区分本机文件系统的类和网络系统导入的类增加安全性，这可以限制任何的特洛伊木马程序，因为本机类总是先被加载，一旦所有的类被加载完，执行文件的内存划分就固定了，在这个时候，特定的内存地址被分配给对应的符号引用，查找表也被建立，由于内存划分发生在运行时，解释器在受限制的代码区增加保护，防止未授权的访问；然后字节码校验器进行校验，主要执行下面的检查，类是否符合JVM规范的类文件格式，有没有违反访问限制，代码有没有造成堆栈的上溢或者下溢，所有操作代码的参数类型是否都是正确的，有没有非法的数据类型转换(例如将整型数转换成对象类型)发生；校验通过的字节码被解释器执行，解释器在必要时通过运行时系统执行对底层硬件的相应调用。

G. 源代码安全检测工具有用吗是不是误报很高呀有什么好办法去误报

源代码安全测试工具当然是有用的，存在即合理嘛。再说，还是有那么多的大企业，银行，检测机构都在使用源代码安全检测工具来检测代码安全，所以有用是肯定的。
当然，很多技术人员都在说源代码安全检测工具的误报率很高，在我看来也不能直接说一定是很高的，这个关键是看用的好坏和会不会用。一方面任何一个测试工具都会有一定的误报，源代码安全检测所检测出来的都是可能的漏洞，一般开发人员对于漏洞的理解，或者说潜在的、可能的漏洞理解都是比较不充分的，也不愿意承认会有是个漏洞。所以都造成了本来不是误报的也当是误报了。另一方面，代码检测工具都只是根据一种或多种的代码条件来判断是不是存在一个可能的漏洞的，不像渗透测试那样是直接攻击型的，漏洞可以直接演示给技术人员看的。也就造成了，“只要是不能演示的漏洞，都不是漏洞”这样的错误技术判断。所以都在说源代码安全检测工具误报高。这是一个错误的说法。

源代码安全测试工具如果不想有那么多所谓的“误报”也是有很多办法的，像思客云公司找八哥产品那样，可以根据用户的需求把用户真正关心的漏洞列出来，形成用户自己的 "安全漏洞检测标准TOP10"，这样就把用户想找的，想查的，想看的，认为是正确的，没有误报的都找出来，其他的不看了，不就可以了吗？ 还有一个方面，如果开发人员在开发过程中就用代码安全检测工具定期扫描的话，漏洞数也不会那么多，接受起来也比较容易，这样一来，所谓的“误报高”就迎刃而解了。

H. 源代码安全管理规范

推荐使用SDC沙盒，使用驱动层加密技术，沙盒加密是个容器，和软件类型无关，文内件大小无关，文件存在电脑里容不需要人为设置，而且可以禁止截屏、禁止拷贝文档里的内容、禁止打印，这样可以避免通过网络论坛等途径把文字资料传播出去。
对存储接口也做限制，禁止使用U口串口网口等方式传播文件，如需要发送文件需要审批通过后才能往外发。
这样即使不封堵外接存储接口也无需担心资料会外泄，毕竟接口封了对自己平时工作也是会造成很大的影响的。

I. 湖南安全技术职业学院专业代码

湖南安全技术职业学院专业代码：14025。

湖南安全技术职业学院是一所经湖南省人民政府批准成立，由应急管理部与湖南省人民政府共建的公办全日制综合性高等职业学院。

学院前身是长沙煤矿安全技术培训中心，创建于1984年，由我国政府与联合国国际劳工组织共建，是国家安监总局的两个直属培训基地之一，是国家一级安全生产培训机构和国家一级煤矿安全培训机构。

2000年，在中心基础上开始筹建湖南科技职业学院；2001年，正式成立为湖南科技职业学院的北院；2005年，独立为湖南安全技术职业学院；2006年，湖南省人民政府与国家安监总局签订了省部共建协议，成为一所以培养安全专业人才为主的公办全日制综合性高等职业学院。

(9)代码安全技术扩展阅读：

学院面向全国24个省（自治区、直辖市）招生。现有全日制在校学生7100余人，其中安全应急类专业学生近3000人。学院(中心)设有安全保障学院、安全工程学院、现代商务学院、机电信息学院、基础教育学院、安全培训学院等6个二级学院；

11个党政管理机构，3个教辅机构，开办安全技术与管理、烟花爆竹技术与管理、煤矿开采技术、测绘与地质工程技术、电子信息工程技术、会计等全日制高职专科专业26个。