海鸥一飞 发表于 2018-3-7 14:36:46

web安全测试技术分享

安全测试,以前我觉得就是防止SQL注入,再高深一点嘛就是解密,找后门。说白了就是破坏和防止的
对抗。这是一个永无止境的对垒!

今天肤浅的分享一些我认知的安全测试内容:

1.firefox有一个牛逼的插件firebug,当然其他浏览器也有开发者视角。(fiddler也很棒,这里不做说明)

打开firebug测试员就能直观的看到HTML脚本、CSS样式和DOM模型。测试狗可以看到每个get和每个post,
查看密码是否加密,接口返回值是否异常,可以动态编辑源码。上线的服务应该对接口进行加密,否则极
容易引发恶意用户攻击服务器或者恶意获取大量有效信息。

2.安全攻击都有哪些?

1.注入攻击漏洞 如下图所示这就是很有问题的一串代码,账号中输入 'a'or '1'='1' 密码输入123456789,
很容易就登录了。



有一定经验的程序员会始终以PreparedStatement代替Statement.(当然用不安全字符、字符串过滤
也是很不错的选择)如下图所示

那么有人要问了,我没有开发经验,没读过关于安全测试的书,我应该怎么办?

其实很简单----appscan解决你的困扰(具体百度)

2.跨站脚本攻击


页: [1]
查看完整版本: web安全测试技术分享