1月9日，微信推出的“小程序”正式上線。“小程序”是一種無(wú)需安裝，即可使用的手機(jī)“應(yīng)用”。不必要像往常一樣下載APP，用戶(hù)在微信中“用完即走”。微信團(tuán)隊(duì)微信團(tuán)隊(duì)的創(chuàng)新向來(lái)以鄭重馳名，但是小程序做為微信誕生以來(lái)功能更新，照舊火遍了互聯(lián)網(wǎng)圈……

而在各種聲音彌漫的同時(shí)，行業(yè)對(duì)其安全性也開(kāi)始出現(xiàn)質(zhì)疑聲音，帶著這一題目，筆者專(zhuān)門(mén)采訪了知道創(chuàng)宇安全服務(wù)部總監(jiān)王宇，讓安全專(zhuān)家以的姿勢(shì)為大家解讀小程序的安全題目。

▲知道創(chuàng)宇安全服務(wù)部總監(jiān)王宇

題目：小程序很火，為什么？

王宇：確實(shí)很火，由于大家都在說(shuō)小程序百度排名優(yōu)化，但褒貶不一，這跟整個(gè)互聯(lián)網(wǎng)生態(tài)有關(guān)，解讀的角度不同，觀點(diǎn)也就不同，但是大多是趨利的，小我覺(jué)得這可能會(huì)讓張小龍感到失望，當(dāng)然還有一些持觀望態(tài)度的人。不能不說(shuō)的是，如今正式上線的小程序在我看來(lái)還屬于試水階段四川做網(wǎng)站信息網(wǎng)，所以我信賴(lài)這些不同的聲音剛好可以讓微信團(tuán)隊(duì)得以很好的借鑒，未來(lái)把小程序做的更好。我小我堅(jiān)信這一方向是的，核心的點(diǎn)就是輕量化應(yīng)用去知足用戶(hù)需求，由于以用戶(hù)需求為出發(fā)點(diǎn)不會(huì)是錯(cuò)的。但是在客戶(hù)端，真的是要認(rèn)清APP和小程序真正的區(qū)別，我信賴(lài)將來(lái)一定會(huì)有一大批良好的小程序讓大家現(xiàn)實(shí)領(lǐng)會(huì)到。

題目：您怎樣考量小程序的安全性題目？

王宇：APP到小程序，行業(yè)在安全性上做了大量的分析，歸根結(jié)底是什么？其實(shí)就是那個(gè)不變的真理，沒(méi)有任何一套體系敢說(shuō)本身100%安全。但是從變化的過(guò)程來(lái)看，這種平臺(tái)化的做法廠商所承擔(dān)的風(fēng)險(xiǎn)是在降低的，微信端為廠商承擔(dān)了一部分，小程序在規(guī)避跨站腳本類(lèi)風(fēng)險(xiǎn)方面具備自然上風(fēng)，更由于騰訊SRC的存在，各大安全廠商也是騰訊SRC的合作伙伴，包括連年獲得良好合作伙伴的知道創(chuàng)宇，所以選擇微信平臺(tái)比自建平臺(tái)更安全也不會(huì)錯(cuò)。

但緊張的題目是在新的領(lǐng)域，都有一個(gè)認(rèn)知的過(guò)程，由于安全照舊要本身負(fù)責(zé)。這個(gè)時(shí)候我們就回到了傳統(tǒng)安全領(lǐng)域題目，假如安全落后于產(chǎn)品，題目可能就會(huì)來(lái)。在小程序的開(kāi)發(fā)過(guò)程中，我們知道創(chuàng)宇也拿到了內(nèi)測(cè)賬號(hào)，我們有營(yíng)業(yè)體系和APP滲透測(cè)試的營(yíng)業(yè)，所以我們會(huì)考慮小程序同樣也會(huì)暴露如許的題目，我們通過(guò)開(kāi)發(fā)后臺(tái)分析，羅列了許多開(kāi)發(fā)者在實(shí)現(xiàn)小程序過(guò)程中會(huì)容易犯的錯(cuò)誤，這跟傳統(tǒng)安全一樣，漏洞都是從這些錯(cuò)誤上留下的。

題目：如今可以使用的小程序安全嗎？

王宇：這個(gè)題目問(wèn)的好，可能也是用戶(hù)關(guān)心的題目，人無(wú)完人、金無(wú)足赤。我們團(tuán)隊(duì)前不久剛好接了單微信小程序的滲透測(cè)試服務(wù)，由于我們接觸微信小程序，并且率先建立了完整的滲透測(cè)試方案，所以他們就找到了我們，不出料想的話這也可能是全行業(yè)個(gè)商業(yè)微信小程序滲透測(cè)試服務(wù)。但如你所問(wèn)就很遺憾了，我們報(bào)告上是如許描述的，相干漏洞會(huì)讓攻擊者獲取悉數(shù)用戶(hù)數(shù)據(jù)，也就是我們所說(shuō)的可以“拖庫(kù)”。

但是我們也必須要為這家廠商點(diǎn)贊，由于他們?cè)谏暇�微信小程序時(shí)把安全放在了很緊張的位置，先通過(guò)了我們的專(zhuān)業(yè)測(cè)試修復(fù)之后才上的線。但是我們無(wú)從知曉其它廠商的小程序是不是也如許做的，畢竟在小程序真的來(lái)到我們身邊時(shí)網(wǎng)站排名優(yōu)化，許多客戶(hù)也意識(shí)到了這個(gè)營(yíng)業(yè)增量的機(jī)會(huì)，苦逼的研發(fā)部門(mén)可能保證的就是定時(shí)上線而已。所曩昔不久銀監(jiān)會(huì)叫停了金融機(jī)構(gòu)的小程序，我覺(jué)得是有道理的，必須要嚴(yán)酷控制安全性。

題目：專(zhuān)業(yè)角度上看，小程序可能存在的安全性題目有哪些？

王宇：通過(guò)我們安全服務(wù)團(tuán)隊(duì)結(jié)合小程序特點(diǎn)去做的大量分析，以及我們累積的應(yīng)用安全經(jīng)驗(yàn)，開(kāi)發(fā)者可能會(huì)在小程序編寫(xiě)上存在SQL注入、越權(quán)訪問(wèn)、文件上傳、CSRF、信息泄漏等等幾方面的緊張安全題目，我們?nèi)缃癯隽艘惶装踩珯z測(cè)規(guī)范，就是為了避免開(kāi)發(fā)者在代碼編寫(xiě)時(shí)出現(xiàn)上述安全題目，專(zhuān)業(yè)的安全檢測(cè)，將會(huì)發(fā)現(xiàn)存在的題目。小程序確實(shí)是個(gè)很好的東西，但是在開(kāi)發(fā)時(shí)肯定要把安全放到很緊張的位置去考慮，假如本身的團(tuán)隊(duì)沒(méi)有這個(gè)能力，建議找專(zhuān)業(yè)安全團(tuán)隊(duì)來(lái)做安全測(cè)試和把控，分外是在網(wǎng)絡(luò)安全法即將實(shí)施之前，肯定要衡量規(guī)避企業(yè)信息泄漏風(fēng)險(xiǎn)。

來(lái)源：北青網(wǎng)