51Testing软件测试论坛

标题: 关于应用系统登录密码加密问题 [打印本页]

作者: wangwenru_1989 时间: 2016-1-13 15:48
标题: 关于应用系统登录密码加密问题
本帖最后由 wangwenru_1989 于 2016-1-13 15:51 编辑

不知道有人做过等保没？在等级保护中，有一条通信保密性中“在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证”。
这个的验证方法是怎么测试的？我的理解是在会话之前系统本身对密码是否进行了加密。不知道是不是这样进行验证的？
从很多的应用系统中发现，均未采用加密的措施。我是通过firefox的扩展工具tamper Data进行抓包查看的。
而且，有个问题一直没想通，极少的应用系统对密码采用加密处理，我通过tamper Data抓包得到加密的密码，但在Burpsuite中抓包却并没有加密，
这是为什么？通过Burpsuite抓包的密码一定是明文的吗？
附上我对同一个登录地址的抓包图：
C:\Users\A\Desktop\1.png
[attach]99692[/attach]
Burpsuite抓包
[attach]99693[/attach]
C:\Users\A\Desktop\2.png
tamper Data抓包

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)