本文原创：哈尔滨工业大学 辛毅
参与修改：
上海交通大学 章思宇
中国科学技术大学 张焕杰
修改时间：2017.10.04
系统责任单位提交测评信息，交由网络信息中心进行安全测试和评估
网络信息中心进行技术测试和评估，反馈系统安全评估报告（内含整改建议）
系统责任单位按照整改建议对系统进行整改，并提供详实的整改报告
网络与信息中心验证整改报告，认为系统达到安全条件后，方可上线
系统必须保证为正常上线系统，须更新为最新
禁止采用失去技术升级的系统（如windows 2003等）。
禁止采用含有已知漏洞的组件、应用程序、框架（如：Struts 2.5 - Struts 2.5.10）、应用程序服务器、web 服务器、 数据库服务器和平台定义。以上系统必须执行安全配置，禁止默认安装。所有的软件应该保持及时更新。
以上系统必须执行安全配置，禁止默认安装。所有的软件应该保持及时更新。
启用本机防火墙关闭不必要端口
从本机关闭不需要的端口（如：关闭 windows netbios 等服务），设置本机防火墙如 iptable 对于访问的源地址进行限制， 同时相关服务设置类似 host.allow,host.deny 等策略。
数据库服务器防护
数据库和应用系统如在同一台服务器，须采用本机回路进行访问，如前端及数据库分为不同服务器，须设置本机防火墙访问规则， 禁止非前端服务器访问数据库网络端口。
用户权限最小化
使用最低权限的数据库用户作为 web 应用所需，禁止具有不必要的额外权限。
系统安装规范化
使用标准端口提供http或https服务，避免使用非标准端口。
保证系统服务正常与上线系统一致，无各种调试、报错信息（如：断点，printf 等调试信息）及注释信息，系统需删除系统默认安装的各种例程、文档及管理程序。
系统配置防护
系统中禁止暴露配置信息（如数据库连接信息），源码备份文件，.git或.svn 仓库等。
系统和数据备份措施
对系统应用和数据有切实可行的备份措施。建议使用git跟踪系统应用的变化和修改情况。
网站系统源码措施
网站系统源码应采用相对路径，禁止使用绝对路径。
网站系统源码禁止绑定域名、端口等。
采用第三方cms模板生产网站，应采用最小化安装，去除调试、数据库配置、说明文档等源文件。
对用户输入内容有效过滤
对用户输入进行严格有效过滤，防止sql注入，xss跨站脚本，命令执行，crsf 跨站请求伪造等，建议采用白名单过滤策略。
使用安全的SQL调用方式
严禁通过POST/GET方式传递SQL语句，避免使用拼接方式组合SQL语句，应尽量使用安全的调用方式。
严控控制上传点
严格控制上传点，尽量禁止让web用户直接访问传文件夹，改用程序输出访问。
上传目录不能有执行权限，原则上不允许有未经登陆验证的上传点。
应对于上传文件类型和目录进行严格控制（禁止用前端的 js 进行控制），文件同时上传目录不能有执行权限。
有效的身份认证措施
设置有效的身份认证、会话管理及访问控制机制，防止越权及提权，禁止利用 js 进行控制及验证。
密码复杂度要求
系统必须有密码复杂度检查模块，设置有效的验证码或者滑动等手段防止暴力破解，严格限制密码长度大于 8 位，含字母（大小写）、数字及符号组合，重要系统须采用二次认证。禁止在数据库中明文存放用户密码，需进行带 salt 的哈希之后入库。对于多次错误登陆进行封堵。
个人隐私信息保护
对于身份信息、单位职务、财务信息、健康信息、讯通信息等等敏感信息禁止在数据库中明文存放。
系统责任单位应提交以下信息供评测使用：
操作系统、版本号
如：CentOS 6.9
开放的网络端口及用途
| 端口 | 开放范围 | 用途 |
|---|---|---|
| tcp 80 | all | web服务 |
| tcp 443 | all | web服务 |
| tcp 22 | 200.100.99.0/24 | 管理 |
| 第三方中间件 | 版本 | 账号 | 密码 | 备注 |
|---|---|---|---|---|
| Tomcat7.0 | 7.0以上 | 无 | 无 | |
| Oracle10g | 10g | zhang | *** | DBA权限 |
| Jdk1.7 | 1.7以上 | 无 | 无 |
系统访问路径和登录信息；
访问路径：http://..edu.cn
用户名和密码：**
系统的管理端路径和登录信息；
管理端访问路径：http://..edu.cn/admin
管理用户账号: admin 密码：**
欢迎 加入我们整理资料