houzeal 发表于 2009-6-24 17:50:56

一个安全测试的CheckList

1.        不登录系统，直接输入登录后的页面的URL是否可以访问；
2.        不登录系统，直接输入下载文件的URL是否可以下载文件；
如输入：http://url/download?name=file是否可以下载文件file
3.        退出登录后，后退按钮能否访问之前的页面；
4.        ID/密码验证方式中能否使用简单密码；
如密码标准为6位以上，字母和数字的组合，不包含ID，连接的字母或数字不能超过n位
5.        ID/密码验证方式中，同一个帐号在不同的机器上不同时登录
6.        ID/密码验证方式中，连续数次输入错误密码后该帐户是否被锁定
7.        重要信息（如密码，身份证，信用卡号等）在输入或者查询时是否明文显示；
在浏览器地址栏中输入命令javascript:alert(doucument.cookie)时是否有重要信息；
在html源码中能否看到重要信息；
8.        手动更改URL中的参数值能否访问没有权限访问的页面。
如普通用户对应的URL中的参数为l＝e，高级用户对应的URL中的参数为l＝s，以普通用户的身份登录系统后将URL中的参数e改为s来访问没有权限访问的页面
9.        URL里不可修改的参数是否可以被修改；
10.        上传与服务器端语言（jsp，asp，php）一样扩展名的文件或exe等可执行文件后，确认在服务器端是否可直接运行
11.        注册用户时是否可以以‘--’or1＝1—等做为用户名
12.        传送给服务器的参数（如查询关键字，URL中的参数等）中包含特殊字符（‘.’and1＝1--.‘and1＝0--.’.‘or 1＝0--）时是否可以正常处理
13.        执行新增操作时，在所有的输入框中输入脚本标签（<script>alert(“”)</script>）后能否保存；
14.        新增或修改重要信息（密码，身份证号码，信用卡号等）时是否有自动完成功能
（在form标签中使用autocomplete＝0来关闭自动完成功能）
15.        在URL中输入下面的地址是否可以下载
http://url/download.jsp?file=c:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/password
16.        是否对session的有效期进行处理
17.        错误信息中是否含有SQL语句，SQL错误信息以及web服务器的绝对路径的等

navy2008 发表于 2009-6-29 12:08:34

学习了，谢谢分享！！:)

qqitong 发表于 2009-7-3 10:12:10

非常感谢

pleo 发表于 2009-8-6 17:20:43

SO 謝謝分享:lol

lisa2008 发表于 2009-8-7 09:56:47

:) 谢谢，比较全面了。

jiang8640 发表于 2010-1-7 11:25:37

比较具体好操作   顶

aman_cao 发表于 2010-1-12 14:03:59

好贴，收藏

张涵 发表于 2010-6-8 12:21:13

哇塞，真的可以找到CheckList

风中劲草 发表于 2011-1-31 15:29:46

好贴，顶！！

ruirui。 发表于 2011-4-13 12:52:27

支持下~

lemon1209 发表于 2011-4-18 10:37:26

好东西，学习了

aishasha 发表于 2011-5-9 09:41:14

谢谢分享，学习了~

wangminmin 发表于 2011-7-3 19:08:29

帮助不少，谢谢！

guliang123 发表于 2011-9-14 15:04:16

不错，很有学习参考价值

guliang123 发表于 2011-9-14 15:04:44

不错，很有学习参考价值

moyiyun 发表于 2011-11-4 10:21:11

不错不错！copy下来啦！

蜗牛来了 发表于 2011-11-4 14:40:15

非常感谢，收藏并转载了

hewitt0122 发表于 2012-2-20 16:52:26

非常不错，收了。

cherrycl2008 发表于 2012-3-3 16:11:54

不错，学习了。谢谢楼主

voilete 发表于 2012-3-19 14:04:43

收了
页: [1] 2 3
查看完整版本: 一个安全测试的CheckList