javascript审计,审计如何审

年度审计中的初审主要是做些什么工作？

是啊，如果是由社会审计（事务所之类的）机构进行的，也就一楼的说的那些了，如果是由国家审计机关进行的，叫审计调查，是整个审计项目的一个程序，其主要内容为：

一、审前调查应当了解的被审计单位基本情况：（一）经济性质、管理体制、机构设置、人员编制情况（二）财政、财务隶属关系或者国有资产监督管理关系；（三）职责范围或者经营范围； （四）财务会计机构及其工作情况；（五）相关内部控制及执行情况； （六）重大会计政策选用及变动情况；七）以往接受审计情况；（八）其他需要了解的情况。

二、审前调查应当收集与审计项目有关的资料：（一）法律、法规、规章和政策； （二）银行账户、会计报表及其他有关会计资料； （三）重要会议记录和有关文件； （四）审计档案资料；（五）电子数据、数据结构文档； （六）其他需要收集的资料。

三、审前调查方式：（一）到被审计单位调查了解情况；（二）对被审计单位进行试审；（三）查阅相关资料；（四）走访上级主管部门、有关监管部门、组织人事部门及其他相关部门；（五）其他方式。

四、审前调查时间：审前调查一般在送达审计通知书之前进行，必要时，可以向被审计单位送达审计通知书后进行审前调查。

相关问答

Q1: 如何测试XSS漏洞

XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。XSS几乎每个网站都存在，google，百度，360等都存在，存在和危害范围广，危害安全性大。

具体利用的话：

储存型XSS，一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。

反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。

dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。

缺点：

1、耗时间

2、有一定几率不成功

3、没有相应的软件来完成自动化攻击

4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底

5、是一种被动的攻击手法

6、对website有http-only、crossdomian.xml没有用

所以楼主如果想更加深层次的学习XSS的话，最好有扎实的前后端开发基础，还要学会代码审计等等。

推荐的话，书籍建议看看《白帽子讲web安全》，《XSS跨站脚本攻击剖析与防御》

一般配合的话，kalilinux里面的BEFF是个很著名的XSS漏洞利用工具，楼主有兴趣可以去看看。

纯手工打字，望楼主采纳。

Q2: 谁有《代码审计web企业级》pdf版和《HTML5，css，JavaScript网页制作到精通》p

你好，《代码审计web企业级》pdf版和《HTML5，css，JavaScript网页制作到精通》pdf和《web前端黑客技术揭秘》pdf版

,我私信已经发送给你。

你的采纳是我前进的动力。

Q3: 能说一下钱包安全审计是什么吗？这阵子都在说时代安全，他们的钱包安全审计好不好用？

近年来，数字钱包安全事件频发。

2019年11月19日，Ars Technica报道称两个加密货币钱包数据遭泄露，220万账户信息被盗。安全研究员Troy Hunt证实，被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了大约100 个XRP Ledger钱包，导致近1000万美元的资金被盗。

2019年3月29日，Bithumb失窃事件闹得沸沸扬扬。据猜测，这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。

随即，黑客将窃取的资金分散到各个交易所，包括火币，HitBTC，WB和EXmo。根据非官方数据和用户估计，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。

由于数字货币的匿名性及去中心化，导致被盗资产在一定程度上难以追回。因此，钱包的安全性至关重要。

2020年8月9日，CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为：Exploit Insecure Crypto Wallet（加密钱包漏洞利用与分析）的主题报告，分享了对于加密钱包安全的见解。

加密钱包是一种帮助用户管理帐户和简化交易过程的应用程序。

有些区块链项目发布加密钱包应用程序来支持本链的发展——比如用于CertiK Chain的Deepwallet。

此外，还有像Shapeshift这样的公司，其构建了支持不同区块链协议的钱包。

从安全的角度来看，加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。

近一年来，CertiK技术团队对多个加密钱包进行了测试和研究，并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。

加密钱包基础审计清单

要对一个应用程序进行评估，首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全性不足的部分进行修正及提高。

CertiK技术团队针对加密钱包制作了一个基础审计清单，这份清单反映了所有形式的加密钱包应用（手机、web、扩展、桌面），尤其是手机和web钱包是如何生产和储存用户私钥的。

应用程序如何生成私钥？

应用程序如何以及在何处存储原始信息和私钥？

钱包连接到的是否是值得信任的区块链节点？

应用程序允许用户配置自定义区块链节点吗？如果允许，恶意区块链节点会对应用程序造成什么影响？

应用程序是否连接了中心化服务器？如果是，客户端应用会向服务器发送哪些信息？

应用程序是否要求用户设置一个安全性高的密码？

当用户试图访问敏感信息或转账时，应用程序是否要求二次验证？

应用程序是否使用了存在漏洞且可被攻击的第三方库？

有没有秘密（比如：API密钥，AWS凭证）在源代码存储库中泄漏？

有没有明显的不良代码实现（例如对密码学的错误理解）在程序源代码中出现？

应用服务器是否强制TLS连接？

手机钱包

相比于笔记本电脑，手机等移动设备更容易丢失或被盗。

在分析针对移动设备的威胁时，必须考虑攻击者可以直接访问用户设备的情况。

在评估过程中，如果攻击者获得访问用户设备的权限，或者用户设备感染恶意软件，我们需要设法识别导致账户和密码资产受损的潜在问题。

除了基础清单以外，以下是在评估手机钱包时要增加检查的审计类目：

应用程序156是否警告用户不要6991对敏感数据进行截屏3780——在显示敏感数据时，安卓应用是否会阻止用户截屏？iOS应用是否警告用户不要对敏感数据进行截屏？

应用程序是否在后台截图中泄漏敏感信息？

应用程序是否检测设备是否越狱/root？

应用程序是否锁定后台服务器的证书？

应用程序是否在程序的log中记录了敏感信息？

应用程序是否包含配置错误的deeplink和intent，它们可被利用吗?

应用程序包是否混淆代码？

应用程序是否实现了反调试功能?

应用程序是否检查应用程序重新打包?

(iOS)储存在iOS Keychain中的数据是否具有足够安全的属性？

应用程序是否受到密钥链数据持久性的影响?

当用户输入敏感信息时，应用程序是否禁用自定义键盘?

应用程序是否安全使用“webview”来加载外部网站？

Web钱包

对于一个完全去中心化的钱包来说，Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包，MyEtherWallet也同样建议用户不要这样做。

与在其他三种平台上运行的钱包相比，以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易；如果攻击者入侵了web服务器，他可以通过向web页面注入恶意的JavaScript，轻松窃取用户的钱包信息。

然而，一个安全构建并经过彻底测试的web钱包依旧是用户管理其加密资产的不二之选。

除了上面常规的基础审计类目之外，我们在评估客户端web钱包时，还列出了以下需要审计的类目列表：

应用程序存在跨站点脚本XSS漏洞吗？

应用程序存在点击劫持漏洞吗？

应用程序有没有有效的Content Security Policy？

应用程序存在开放式重定向漏洞吗？

应用程序存在HTML注入漏洞吗？

现在网页钱包使用cookie的情况很少见，但如果有的话，应检查：

Cookie属性

跨站请求伪造（CSRF）

跨域资源共享（CORS）配置错误

该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗？

OWASP Top 10中未在上文提到的漏洞。

扩展钱包

Metamask是最有名和最常用的加密钱包之一，它以浏览器扩展的形式出现。

扩展钱包在内部的工作方式与web应用程序非常相似。

不同之处在于它包含被称为content script和background script的独特组件。

网站通过content script和background script传递事件或消息来与扩展页面进行交流。

在扩展钱包评估期间，最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。

除了基础清单以外，以下是在评估扩展钱包时要增加检查的审计类目：

扩展要求了哪些权限？

扩展应用如何决定哪个网站允许与扩展钱包进行交流？

扩展钱包如何与web页面交互？

恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面？

恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据？

扩展钱包存在点击劫持漏洞吗？

扩展钱包（通常是background script）在处理消息之前是否已检查消息来源？

应用程序是否实现了有效的内容安全策略?

Electron桌面钱包

在编写了web应用程序的代码之后，为什么不用这些代码来建造一个Electron中桌面应用程序呢？

在以往测试过的桌面钱包中，大约80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时，不仅要寻找web应用程序中可能存在的漏洞，还要检查Electron配置是否安全。

CertiK曾针对Electron的桌面应用程序漏洞进行了分析，你可以点击访问此文章了解详情。

以下是基于Electron的桌面钱包受评估时要增加检查的审计类目：

应用程序使用什么版本的Electron？

应用程序是否加载远程内容？

应用程序是否禁用“nodeIntegration”和“enableRemoteModule”？

应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项？

应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面？

应用程序是否实现了有效的内容安全策略？

preload script是否包含可能被滥用的代码？

应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)？

应用程序会使不安全的自定义协议吗?

服务器端漏洞检查列表

在我们测试过的加密钱包应用程序中，有一半以上是没有中心化服务器的，他们直接与区块链节点相连。

CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。

但是，如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能，那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。

服务器端组件要测试的项目高度依赖于应用程序特性。

根据在研究以及与客户接触中发现的服务器端漏洞，我们编写了下文的漏洞检查表。当然，它并不包含所有可能产生的服务器端漏洞。

认证和授权

KYC及其有效性

竞赛条件

云端服务器配置错误

Web服务器配置错误

不安全的直接对象引用(IDOR)

服务端请求伪造(SSRF)

不安全的文件上传

任何类型的注入(SQL，命令，template)漏洞

任意文件读/写

业务逻辑错误

速率限制

拒绝服务

信息泄漏

总结

随着技术的发展，黑客们实施的欺诈和攻击手段也越来越多样化。

CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。

现阶段，许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度，对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目，CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知，从而促进产品安全升级，共同保护用户资产的安全性。

数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。

加密钱包需要重视对于潜在攻击方式的检测和监视，避免多次受到同一方式的攻击，并且加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。除此之外，需要聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。

Q4: js有点难度的问题

这种东西关键就是函数名和参数什么的最好别重名

给你个长的，自己照着改改吧，就是那么个意思源代码复制到一个网页就可以

SCRIPT LANGUAGE="JavaScript"

function Dyyfff()

{

this.Items = {};

}

Dyyfff.prototype.add = function(id,iArray)

{

this.Items[id] = iArray;

}

Dyyfff.prototype.Exists = function(id)

{

if(typeof(this.Items[id]) == "undefined") return false;

return true;

}

function changfffe(vfff){

var strfff="0";

for(ifff=0;ifffvfff;ifff++){ strfff+=("_"+(document.getElementById(sfff[ifff]).selectedIndex-1));};

var ssfff=document.getElementById(sfff[vfff]);

with(ssfff){

length = 0;

options[0]=new Option(opt0[vfff],opt0[vfff]);

if(vfff document.getElementById(sfff[vfff-1]).selectedIndex0 || !vfff)

{

if(Dyyfff.Exists(strfff)){

arfff = Dyyfff.Items[strfff];

for(ifff=0;ifffarfff.length;ifff++)options[length]=new Option(arfff[ifff],arfff[ifff]);

if(vfff)options[1].selected = true;

}

}

if(++vfffsfff.length){changfffe(vfff);}

}

}

var Dyyfff = new Dyyfff();

Dyyfff.add("0",["计算机/互联网/通讯类","市场/公关/广告类","教师类","服务类","文字/艺术/设计类","高级管理类"," 销售类","行政/人事/后勤类","物流/贸易/采购类","建筑/房地产类","翻译类","生产/营运/工程类","财务/审计/统计/金融类","医疗/护理类","咨询/顾问类","律师/法务类" ]);

Dyyfff.add("0_0",["首席技术执行官","技术总监经理","信息技术经理","信息技术主管","信息技术专员","项目经理主管","项目执行协调人员","系统分析员","高级软件工程师","软件工程师","系统工程师","高级硬件工程师","硬件工程师","通信技术工程师","ERP技术/应用顾问","数据库工程师","技术支持经理","技术支持工程师","品质经理","信息安全工程师","软件测试工程师","硬件测试工程师","测试员","网站营运经理/主管","网络工程师","系统管理员/网管","网页设计/制作","Web开发工程师","网页设计美工","平面设计美工","三维动画设计工程师","技术文员/助理"]);

Dyyfff.add("0_1",["市场/广告总监","市场/营销经理","市场/营销主管","市场/营销专员","市场助理","产品/品牌经理","产品/品牌主管","市场通路经理","市场通路主管","促销经理","促销主管","促销员","市场分析/调研人员","公关/会务经理","公关/会务主管 ","公关/会务专员","媒介经理","媒介人员","企业/业务发展经理","企业策划人员","广告策划/设计/文案"]);

Dyyfff.add("0_2",["教师","教学/教务管理人员","助教","讲师","家教"]);

Dyyfff.add("0_3",["美容/健身顾问","餐饮/娱乐经理","宾馆/酒店经理","领班","服务员","营业员/收银员/理货员","厨师","导游","司机","保安","寻呼员/话务员"]);

Dyyfff.add("0_4",["编辑/作家/撰稿人","记者","校对/录入","排版设计","艺术/设计总监","影视策划/制作人员","导演","摄影师","音效师","演员/模特/主持人","平面设计/美术设计","纺织/服装设计", "工业/产品设计","工艺品/珠宝设计"]);

Dyyfff.add("0_5",["首席执行官/总经理","副总经理","总监","合伙人","总裁/总经理助理"]);

Dyyfff.add("0_6",["销售总监","销售经理","区域销售经理","客户经理","渠道/分销经理","渠道主管","销售主管","销售代表","销售工程师","医药代表","保险代理","销售助理","商务经理","商务专员/助理","销售行政经理","销售行政主管","售前/售后技术服务经理","售前/售后技术服务主管","售前/售后技术服务工程师","售后/客户服务(非技术)经理","售后/客户服务(非技术)主管","售后/客户服务（非技术）专员","经销商"]);

Dyyfff.add("0_7",["行政/人事总监","人事经理","人事主管","人事专员","人事助理","招聘经理/主管","薪资福利经理/主管","薪资福利专员/助理","培训经理/主管","培训专员/助理","行政经理/主管/办公室主任","行政专员/助理","经理助理/秘书","前台接待/总机","后勤","资料管理员","电脑操作员/打字员"]);

Dyyfff.add("0_8",["物流经理","物流主管","物流专员/助理","物料经理","物料主管","采购经理","采购主管","采购员","外贸/贸易经理/主管","外贸/贸易专员/助理","业务跟单经理","高级业务跟单", "业务跟单","助理业务跟单","仓库经理/主管","仓库管理员","运输经理/主管","报关员","单证员","船务人员","快递员","理货员"]);

Dyyfff.add("0_9",["建筑工程师","结构/土建工程师","电气工程师","给排水/暖通工程师","工程造价师/预结算","建筑工程管理","工程监理","室内外装潢设计","城市规划与设计","建筑制图","施工员", "房地产开发/策划","房地产评估","房地产中介/交易","物业管理"]);

Dyyfff.add("0_10",["英语翻译","日语翻译","德语翻译","法语翻译","俄语翻译","西班牙语翻译","朝鲜语翻译","其他语种翻译"]);

Dyyfff.add("0_11",["工厂经理/厂长","总工程师/副总工程师","项目经理/主管","项目工程师","营运经理","营运主管","生产经理/车间主任","生产计划协调员","生产主管/督导/领班","技术/工艺设计经理/主管","技术/工艺设计工程师","实验室负责人/工程师","工程/设备经理","工程/设备主管","工程/设备工程师","电气/电子工程师","机械工程师","机电工程师","维修工程师","质量经理","质量主管","质量工程师","质量检验员/测试员","认证工程师","安全/健康/环境经理/主管","安全/健康/环境工程师","工程绘图员","机械制图员","化验员","技工","电工","服装打样/制版"]);

Dyyfff.add("0_12",["财务总监","财务经理","财务主管/总帐主管 ","会计经理/会计主管","会计","出纳员","财务/会计助理","财务分析经理/主管 ","财务分析员","成本经理/成本主管","成本管理员","审计经理/主管","审计专员/助理","税务经理/税务主管","税务专员","证券经纪人","投资顾问","注册分析师","投资/基金项目经理","融资经理/融资主管","融资专员","行长/副行长","风险控制","进出口/信用证结算","清算人员","外汇主管","高级客户经理/客户经理","客户主管/专员","信贷/信用调查/分析人员","银行柜台出纳","统计员"]);

Dyyfff.add("0_13",[

"医生(中\西医","医学管理人员","医药技术人员","药库主任/药剂师 ","护士/护理人员","临床协调员","临床研究员","麻醉师","心理医生","医药学检验"]);

Dyyfff.add("0_14",["专业顾问","咨询总监","咨询经理","咨询员"]);

Dyyfff.add("0_15",["律师","法务人员","律师助理","书记员"]);

//--

/SCRIPT

SCRIPT LANGUAGE = JavaScript

var sfff=["sfff1","sfff2"];

var opt0 = ["职位类别不限","不限"];

function setupfff()

{

for(ifff=0;ifffsfff.length-1;ifff++)

document.getElementById(sfff[ifff]).onchange=new Function("changfffe("+(ifff+1)+")");

changfffe(0);

}

//##联动菜单结束--

/SCRIPT

!--又是可恶的二级联动--

!----------------------------------------

SCRIPT LANGUAGE="JavaScript"

!-- ###中国省市二级联动菜单开始##如有问题请到找我!##

function Dyyeee()

{

this.Items = {};

}

Dyyeee.prototype.add = function(id,iArray)

{

this.Items[id] = iArray;

}

Dyyeee.prototype.Exists = function(id)

{

if(typeof(this.Items[id]) == "undefined") return false;

return true;

}

function changeeee(veee){

var streee="0";

for(ieee=0;ieeeveee;ieee++){ streee+=("_"+(document.getElementById(seee[ieee]).selectedIndex-1));};

var sseee=document.getElementById(seee[veee]);

with(sseee){

length = 0;

options[0]=new Option(opt0[veee],opt0[veee]);

if(veee document.getElementById(seee[veee-1]).selectedIndex0 || !veee)

{

if(Dyyeee.Exists(streee)){

areee = Dyyeee.Items[streee];

for(ieee=0;ieeeareee.length;ieee++)options[length]=new Option(areee[ieee],areee[ieee]);

if(veee)options[1].selected = true;

}

}

if(++veeeseee.length){changeeee(veee);}

}

}

var Dyyeee = new Dyyeee();

Dyyeee.add("0",["北京市","天津市","河北省","山西省","内蒙古","辽宁省","吉林省","黑龙江省","上海市","江苏省","浙江省","安徽省","福建省","江西省","山东省","河南省","湖北省","湖南省","广东省","广西自治区","海南省","重庆市","四川省","贵州省","云南省","西藏自治区","陕西省","甘肃省","青海省","宁夏回族自治区","新疆维吾尔自治区","香港特别行政区","澳门特别行政区","台湾省","其它"]);

Dyyeee.add("0_0",["东城区","西城区","崇文区","宣武区","朝阳区","丰台区","石景山区"," 海淀区（中关村）","门头沟区","房山区","通州区","顺义区","昌平区","大兴区","怀柔区","平谷区","密云县","延庆县","其他"]);

Dyyeee.add("0_1",["河东区","河西区","南开区","红桥区","塘沽区","汉沽区","大港区","西青区","津南区","武清区","蓟县","宁河县","静海县","其他"]);

Dyyeee.add("0_2",["张家口市","承德市","秦皇岛市","唐山市","廊坊市","衡水市","沧州市","邢台市","邯郸市","保定市","其他"]);

Dyyeee.add("0_3",["太原市","朔州市","大同市","长治市","晋城市","忻州市","晋中市","临汾市","吕梁市","运城市","其他"]);

Dyyeee.add("0_4",["呼和浩特市","包头市","赤峰市","呼伦贝尔市","鄂尔多斯市","乌兰察布市","巴彦淖尔市","兴安盟","阿拉善盟","锡林郭勒盟","其他"]);

Dyyeee.add("0_5",["沈阳市","朝阳市","阜新市","铁岭市","抚顺市","丹东市","本溪市","辽阳市","鞍山市","大连市","营口市","盘锦市","锦州市","葫芦岛市","其他"]);

Dyyeee.add("0_6",["长春市","白城市","吉林市","四平市","辽源市","通化市","白山市","延边朝鲜族自治州","其他"]);

Dyyeee.add("0_7",["哈尔滨市","七台河市","黑河市","大庆市","齐齐哈尔市","伊春市","佳木斯市","双鸭山市","鸡西市","大兴安岭地区(加格达奇)","牡丹江","鹤岗市","绥化市 ","其他"]);

Dyyeee.add("0_8",["黄浦区","卢湾区","徐汇区","长宁区","静安区","普陀区","闸北区","虹口区","杨浦区","闵行区","宝山区","嘉定区","浦东新区","金山区","松江区","青浦区","南汇区","奉贤区","崇明县","其他"]);

Dyyeee.add("0_9",["南京市","徐州市","连云港市","宿迁市","淮安市","盐城市","扬州市","泰州市","南通市","镇江市","常州市","无锡市","苏州市","其他"]);

Dyyeee.add("0_10",["杭州市","湖州市","嘉兴市","舟山市","宁波市","绍兴市","衢州市","金华市","台州市","温州市","丽水市","其他"]);

Dyyeee.add("0_11",["合肥市","宿州市","淮北市","亳州市","阜阳市","蚌埠市","淮南市","滁州市","马鞍山市","芜湖市","铜陵市","安庆市","黄山市","六安市","巢湖市","池州市","宣城市","其他"]);

Dyyeee.add("0_12",["福州市","南平市","莆田市","三明市","泉州市","厦门市","漳州市","龙岩市","宁德市","其他"]);

Dyyeee.add("0_13",["南昌市","九江市","景德镇市","鹰潭市","新余市","萍乡市","赣州市","上饶市","抚州市","宜春市","吉安市","其他"]);

Dyyeee.add("0_14",["济南市","聊城市","德州市","东营市","淄博市","潍坊市","烟台市","威海市","青岛市","日照市","临沂市","枣庄市","济宁市","泰安市","莱芜市","滨州市","菏泽市","其他"]);

Dyyeee.add("0_15",["郑州市","三门峡市","洛阳市","焦作市","新乡市","鹤壁市","安阳市","濮阳市","开封市","商丘市","许昌市","漯河市","平顶山市","南阳市","信阳市","周口市","驻马店市","其他"]);

Dyyeee.add("0_16",["武汉市","十堰市","襄樊市","荆门市","孝感市","黄冈市","鄂州市","黄石市","咸宁市","荆州市","宜昌市","随州市","恩施土家族苗族自治州","仙桃市","天门市","潜江市","神农架林区","其他"]);

Dyyeee.add("0_17",["长沙市","张家界市","常德市","益阳市","岳阳市","株洲市","湘潭市","衡阳市","郴州市","永州市","邵阳市","怀化市","娄底市","湘西土家族苗族自治州","其他"]);

Dyyeee.add("0_18",["广州市","清远市市","韶关市","河源市","梅州市","潮州市","汕头市","揭阳市","汕尾市","惠州市","东莞市","深圳市","珠海市","中山市","江门市","佛山市","肇庆市","云浮市","阳江市","茂名市","湛江市","其他"]);

Dyyeee.add("0_19",["南宁市","桂林市","柳州市","梧州市","贵港市","玉林市","钦州市","北海市","防城港市","崇左市","百色市","河池市","来宾市","贺州市","其他"]);

Dyyeee.add("0_20",["海口市","三亚市","其他"]);

Dyyeee.add("0_21",["渝中区","大渡口区","江北区","沙坪坝区","九龙坡区","南岸区","北碚区","万盛区","双桥区","渝北区","巴南区","万州区","涪陵区","黔江区","长寿区","合川市","永川市","江津市","南川市","綦江县","潼南县","铜梁县","大足县","璧山县","垫江县","武隆县","丰都县","城口县","开县","巫溪县","巫山县","奉节县","云阳县","忠县","石柱土家族自治县","彭水苗族土家族自治县","酉阳土家族苗族自治县","秀山土家族苗族自治县","其他"]);

Dyyeee.add("0_22",["成都市","广元市","绵阳市","德阳市","南充市","广安市","遂宁市","内江市","乐山市","自贡市","泸州市","宜宾市","攀枝花市","巴中市","资阳市","眉山市","雅安","阿坝藏族羌族自治州","甘孜藏族自治州","凉山彝族自治州县","其他"]);

Dyyeee.add("0_23",["贵阳市","六盘水市","遵义市","安顺市","毕节地区","铜仁地区","黔东南苗族侗族自治州","黔南布依族苗族自治州","黔西南布依族苗族自治州","其他"]);

Dyyeee.add("0_24",["昆明市","曲靖市","玉溪市","保山市","昭通市","丽江市","普洱市","临沧市","宁德市","德宏傣族景颇族自治州","怒江僳僳族自治州","楚雄彝族自治州","红河哈尼族彝族自治州","文山壮族苗族自治州","大理白族自治州","迪庆藏族自治州","西双版纳傣族自治州","其他"]);

Dyyeee.add("0_25",["拉萨市","那曲地区","昌都地区","林芝地区","山南地区","日喀则地区","阿里地区","其他"]);

Dyyeee.add("0_26",["西安市","延安市","铜川市","渭南市","咸阳市","宝鸡市","汉中市","安康市","商洛市","其他"]);

Dyyeee.add("0_27",["兰州市 ","嘉峪关市","金昌市","白银市","天水市","武威市","酒泉市","张掖市","庆阳市","平凉市","定西市","陇南市","临夏回族自治州","甘南藏族自治州","其他"]);

Dyyeee.add("0_28",["西宁市","海东地区","海北藏族自治州","黄南藏族自治州","玉树藏族自治州","海南藏族自治州","果洛藏族自治州","海西蒙古族藏族自治州","其他"]);

Dyyeee.add("0_29",["银川市","石嘴山市","吴忠市","固原市","中卫市","其他"]);

Dyyeee.add("0_30",["乌鲁木齐市","克拉玛依市","喀什地区","阿克苏地区","和田地区","吐鲁番地区","哈密地区","塔城地区","阿勒泰地区","克孜勒苏柯尔克孜自治州","博尔塔拉蒙古自治州","昌吉回族自治州 伊犁哈萨克自治州","巴音郭楞蒙古自治州","河子市","阿拉尔市","五家渠市","图木舒克市","其他"]);

Dyyeee.add("0_31",["香港","其他"]);

Dyyeee.add("0_31",["澳门","其他"])

Dyyeee.add("0_32",["台湾","其他"])

//--

/SCRIPT

SCRIPT LANGUAGE = JavaScript

var seee=["seee1","seee2"];

var opt0 = ["工作省份不限","工作城市不限"];

function setupeee()

{

for(ieee=0;ieeeseee.length-1;ieee++)

document.getElementById(seee[ieee]).onchange=new Function("changeeee("+(ieee+1)+")");

changeeee(0);

}

//##联动菜单结束--

/SCRIPT

select name="" style="width:180px;" id="sfff1"/select

select name="ss_find_post" style="width:180px;" id="sfff2"/select

SCRIPT language="javascript"

setupfff()

/SCRIPT

select name="ss_seee1" style="width:180px;" id="seee1" /select

select name="ss_sub_seee1" style="width:180px;" id="seee2" /select

SCRIPT language="javascript"

setupeee()

/SCRIPT

Q5: 海云安源代码审计服务有什么优势吗

现在大部分客户对于软件开发的安全考量基本集中在软件开发的后期，在测试阶段引入。常用的软件风险评估、漏洞扫描、渗透测试等都是在软件开发完成后进行。通常这个阶段预留的时间非常少，不仅修复的难度高，修复、测试的成本极高，而且存在大量的漏洞错报和误报的情况。后期的测试手段也无法精准地测试出代码漏洞的具体位置。当通过后期测试发现问题后，人工进行代码审查去查找漏洞所在代码位置时，我们经常会发现过程中存在效率低、准确率低、无法定位具体问题代码行等问题。而这些问题导致了客户后期发现系统漏洞时，无法进行快速、准确地修复，客户只能让系统携带漏洞上线。SCAP产品将从开发早期进行安全介入，能够快速精准地定位问题代码行，对漏洞进行实时管理，完美地解决上述问题，从源代码级别保护系统的代码安全。

Why SCAP？

海云安源代码分析管理平台（以下简称“SCAP”）是由深圳海云安网络安全技术有限公司多年源代码安全实践经验自主研发的源代码安全漏洞检查及分析管理平台。SCAP拥有领先行业的源代码检测引擎，强大的用户环境集成能力和完善的管理流程使得产品拥有强大的实用性。SCAP为开发人员提供简单、方便、精准、快速的源代码漏洞检查，极大地减少开发人员在查找、修复漏洞上花费的时间，提高安全效率。强大精准的代码检测引擎使得SCAP成为市场上现有源代码安全最强有力的工具。

产品功能

海云安SCAP产品能够从源头和开发的初期就及时发现漏洞，让开发人员在使用意识和编码习惯方面做到杜绝安全隐患，极大地提高用户软件的安全性，帮助用户降低潜在经济损失，实现海云安“安全每一行代码”的愿景。

强大的引擎能力

SCAP拥有领先行业的源代码安全分析引擎，引擎100%自主研发，安全可控。该引擎支持C\C++、Java、JS、PHP、SQL等多种语言，覆盖代码缺陷检测、代码质量检测、开源组件检测、木马后门检测、性能缺陷、编码规范等 2000+种缺陷。引擎积累了庞大的安全漏洞检测规则库，以及源代码误报漏报过滤引擎。同时引擎结合了AI人工智能学习算法，快速积累自己的规则库和漏洞库。

强大的引擎能力

支持Java、C、C++、.NET、Andriod-JAVA、Objective-C、Swift、JSP、PHP、ASP、Python、XML、HTML、JavaScript、VBScript、SQL等20+种语言的检测

▲ 产品页面

支持对代码缺陷检测、代码质量检测、开源组件检测、木马后门检测，涵盖2000+种缺陷类型

符合CWE、OWASP Top 10、SANS、PCI DSS、STIG、NIST等等国际安全组织或行业安全标准的安全漏洞分类、分级，其中OWASP TOP10召回率高，漏报率低

支持用户自定义检测规则，来满足客户化的特定的检测需求；同时支持用户对产品的安全漏洞检测规则库进行自定义勾选，满足用户根据自身特点、或者检测目标的安全要求，定义出不同的检测标准

▲ 产品页面

高效的管理能力

为了让产品更好地服务于用户，在产品设计的过程中，我们对用户的软件开发流程、开发习惯、痛点难点等方面进行了深入的调研。海云安SCAP产品支持项目全生命周期综合管理，能够提供对多个项目源代码的不同开发阶段、不同版本的测试结果报表。针对多用户、多职责、多部门的权限管理不同的情况，用户可根据自己的需求进行权限控制，便于对不同部门和不同角色的用户进行统一分配、集中管理。平台的易用性和高效全面的管理能力使得海云安SCAP成为用户的不二之选。

高效的管理能力

支持项目全生命周期综合管理，提供对多个项目源代码的不同开发阶段、不同版本的测试结果报表功能

多用户，多职责，多部门的权限管理。可根据用户需求进行权限控制，方便不同部门和不同角色的用户进行统一分配、集中管理

管理平台支持从本地上传代码包进行扫描检测，一键上传，自动分析

管理平台有详细的报表统计分析功能，能够展示各研发部门源代码安全审计情况、整改前后的对比、全局源代码审计情况等，方便整体把握源代码安全情况

▲ 产品页面

集成扩展能力

能够对接Git，SVN等主流代码仓库。支持 Eclipse插件集成， IntelliJ插件集成， Android Studio插件集成能够实现一键提交代码扫描

能够无缝对接第三方扫描引擎，并对测试结果以及规则等进行统一管理

支持用户工单对接，能够对接JIRA等工单系统，一遍一键提交扫描报告，高效跟进和落实代码漏洞整改。同时能够根据客户的工单系统需求，对接其他工单系统

▲ 产品界面

SCAP产品框架

SCAP以B/S架构的方式提供用户进行交互与管理，支持私有云和公有云部署，能够与Git、SVN等代码仓库集成获取代码，与Jenkins构建集成系统进行集成，系统构建时会自动化触发进行代码扫描。用户可通过检测代码版本对比进行误报自动加白名单，在审计结果输出后，可对审计结果进行导出报告，使用邮件进行报告推送，还与企业的漏洞工单进行对接，实现平台一站式审计服务。

▲ 产品架构

SCAP产品优势

业内顶尖的检测能力：涵盖代码缺陷，质量，木马后门等检测，涵盖2000+种缺陷类型

自主研发，安全可控：SCAP产品是海云安 100% 自主研发，具有自主知识产权，符合国家信息安全产品“自主、可控”的要求

强大的规则库：结合多年的服务经验以及AI人工智能算法，形成了领先业内的规则库和漏洞库

功能强大，灵活部署：SCAP产品拥有强大全面的检测能力，同时在易用、实用方面也广泛受用户好评。产品还可实现对软件安全开发生命周期的全面支持，方便用户使用