安全测试checklist

ruanyongjie 发表于 2008-11-12 20:43:46

转自http://cs.phontol.com/20081017_330516.html

1. 不登录系统，直接输入登录后的页面的url是否可以访问
2. 不登录系统，直接输入下载文件的url是否可以下载，如输入http://url/download?name=file是否可以下载文件file
3. 退出登录后按后退按钮能否访问之前的页面
4. ID/密码验证方式中能否使用简单密码。如密码标准为6位以上，字母和数字混合，不能包含ID，连续的字母或数字不能超过n位
5. 重要信息（如密码，身份证号码，信用卡号等）在输入或查询时是否用明文显示；在浏览器地址栏里输入命令javascrīpt:alert(doucument.cookie)时是否有重要信息；在html源码中能否看到重要信息
6. 手动更改URL中的参数值能否访问没有权限访问的页面。如普通用户对应的url中的参数为l=e，高级用户对应的url中的参数为l=s，以普通用户的身份登录系统后将url中的参数e改为s来访问本没有权限访问的页面
7. url里不可修改的参数是否可以被修改
8. 上传与服务器端语言（jsp、asp、php）一样扩展名的文件或exe等可执行文件后，确认在服务器端是否可直接运行
9. 注册用户时是否可以以'--,' or 1=1 --等做为用户名
10. 传送给服务器的参数（如查询关键字、url中的参数等）中包含特殊字符（','and 1=1 --,' and 1=0 --,'or 1=0 --）时是否可以正常处理
11. 执行新增操作时，在所有的输入框中输入脚本标签（<scrīpt>alert("")</scrīpt>）后能否保存
12. 在url中输入下面的地址是否可以下载：http://url/download.jsp?file=C:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/passwd
13. 是否对session的有效期进行处理
14. 错误信息中是否含有sql语句、sql错误信息以及web服务器的绝对路径等
15. ID/密码验证方式中，同一个账号在不同的机器上不能同时登录
16. ID/密码验证方式中，连续数次输入错误密码后该账户是否被锁定
17. 新增或修改重要信息（密码、身份证号码、信用卡号等）时是否有自动完成功能（在form标签中使用autocomplete=off来关闭自动完成功能）

gaoy_b 发表于 2008-11-13 09:03:58

请帮帮忙！

我用AppScan扫描我们的应用系统后，对以下3种问题有些疑问，请帮帮忙！
HTTP Referer Header SQL Injection,
Http User-Agent Header SQL Injection,
这两类问题SQL是怎样注入的？怎样解决这两种SQL注入？

Login Error messages Credential Enumeration
这是什么问题，怎么产生的？又怎样避免这种漏洞哪？

恳请版主和各位同仁能给予帮助，在此感谢了！

ruanyongjie 发表于 2008-11-13 10:08:56

原帖由 gaoy_b 于 2008-11-13 09:03 发表 http://bbs.51testing.com/images/common/back.gif
我用AppScan扫描我们的应用系统后，对以下3种问题有些疑问，请帮帮忙！
HTTP Referer Header SQL Injection,
Http User-Agent Header SQL Injection,
这两类问题SQL是怎样注入的？怎样解决这两种SQL注入？

...

这些问题我会在 “请问版主yuanyongjie,你用过AppScan，请问你是否对出现的各类问题作过总结？ ”帖子里回答。

thefirstred 发表于 2008-11-14 11:09:31

好像是从我的blog中直接copy过来的

好像是从我的blog中直接copy过来的吧？:L

ruanyongjie 发表于 2008-11-14 14:41:54

原帖由 thefirstred 于 2008-11-14 11:09 发表 http://bbs.51testing.com/images/common/back.gif
好像是从我的blog中直接copy过来的吧？:L

转自 http://cs.phontol.com/20081017_330516.html

不好意思没有到你空间里copy，:) :)

行走在杭州 发表于 2008-11-26 09:51:41

原创的文章太少，没办法···

jessies 发表于 2009-4-30 11:24:52

:victory: 很好，正好在整理这一类的问题，有借鉴的更好了！谢谢了。

marken 发表于 2009-7-1 22:11:51

以下链接可以进去吗？

http://www.51testing.com/?uid-18116-action-viewspace-itemid-126161

这个说是安全工具，但要密码，不否楼主可否把这资料共享一下，谢谢！

lixiaoyer 发表于 2010-10-13 11:36:23

呵呵，借鉴了，谢楼主
不一定要原创，毕竟高手只是一小部分，我们只要占在巨人的肩膀上能继续奋斗就可以了

819longjiayan 发表于 2010-11-2 09:47:27

好，正需要呢。。。谢谢楼主分享

fengfengye 发表于 2011-3-27 21:13:51

谢谢！！！！！！！！

ruirui。 发表于 2011-4-13 12:41:15

楼上觉得什么东西比较实际？

页: [1]

51Testing软件测试论坛 's Archiver