GB/T38674-2020信息安全技术 应用软件安全编程指南

GB/T 38674-2020.Information security technology-Guideline on secure coding of application software.
1范围
GB/T 38674提出了应用软件安全编程的通用框架,从提升软件安全性的角度对应用软件编程过程进行指导。
GB/T 38674适用于客户端/服务器架构的应用软件开发,其他架构的应用软件开发也可参照使用,并根据其应用环境的特性补充必要的安全防护措施。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069-2010 信息安全技术 术语
3术语和定义、缩略语
3.1术语和定义
GB/T 25069-2010 界定的以及下列术语和定义适用于本文件。为了便于使用,以下重复列出了GB/T 25069-2010 中的某些术语和定义。
3.1.1
缓冲区溢出 buffer overflow
向程序的缓冲区写人超出其长度的内容,从而破坏程序堆栈，使程序转而执行其他指令,以获取程序或系统的控制权。
3.1.2
命令注入 command injection
通过应用程序将用户输入的恶意内容拼接到命令中,并提交给后台引擎执行的攻击行为。
3.1.3
应用软件日志 application softwarelog
用于记录系统操作事件的文件集合。
3.1.4
线程安全 thread safe
某个函数、函数库在多线程环境中被调用时能够正确地处理多个线程之间的共享变量,使程序功能正确执行的能力。
3.1.5
线程同步 thread synchronization
多个线程通过特定手段来控制线程之间执行顺序的一种机制。
注:当有一个线程在对内存进行操作时,其他线程就不能对该内存地址执行操作，直到该线程操作完成，此时,其他线程被设置处于等待状态。