4、Linux与Unix安全编程综合指南

Linux与Unix安全编程综合指南

1. 信息整合与利用

在安全编程领域，相关信息往往分散各处，将关键信息整理到一个有条理的文档中，能极大提升信息的易用性。不过，部分信息并非为程序员编写，而是面向管理员或用户。而且，很多现有信息着重于可移植的构建方式（即在所有类Unix系统上都能运行的构建），几乎未涉及Linux的独特功能。

从可移植性角度考虑，通常最好避免使用Linux的独特功能，但有时这些功能对提升安全性很有帮助。即便希望程序具有非Linux系统的可移植性，在Linux系统上运行时，也可考虑支持这些独特功能。

2. 设计与实现指南的来源

有许多文档可用于指导编写安全程序或发现现有程序中的安全问题，以下是一些有价值的资源：
- 通用服务器和setuid/setgid程序相关 ：
- Matt Bishop在1996年和1997年发表了多篇关于此主题的有价值论文和演示文稿，其相关网页为http://olympus.cs.ucdavis.edu/~bishop/secprog.html。
- AUSCERT于1996年发布了编程清单，部分基于Garfinkel和Spafford所著书籍第23章关于编写安全SUID和网络程序的内容。
- Galvin在1998年分别发表文章描述了开发安全程序的简单流程和清单，并进行了更新。
- Sitaker在1999年列出了“Linux安全审计”团队需查找的问题清单。
- Shostack在1999年定义了用于审查安全敏感代码的清单。
- NCSA提供了一套简洁但实用的安全编程指南。
- 其他有用信息来源包