51Testing软件测试论坛

标题: WEB安全测试通常要考虑的测试点 [打印本页]

作者: 阿七 时间: 2008-4-24 10:06
标题: WEB安全测试通常要考虑的测试点
安全测试通常要考虑的测试点

1，
问题：没有被验证的输入
测试方法：

数据类型（字符串，整型，实数，等）
允许的字符集

最小和最大的长度
是否允许空输入
参数是否是必须的
重复是否允许
数值范围
特定的值（枚举型）
特定的模式（正则表达式）

2，
问题：有问题的访问控制

测试方法：

主要用于需要验证用户身份以及权限的页面，复制该页面的url地址，关闭该页面以后，查看是否可以直接进入该复制好的地址
例：从一个页面链到另一个页面的间隙可以看到URL地址
直接输入该地址，可以看到自己没有权限的页面信息，

3    错误的认证和会话管理

例：对Grid、Label、Tree view类的输入框未作验证，输入的内容会按照html语法解析出来

4，缓冲区溢出

没有加密关键数据

例：view－source：http地址可以查看源代码

在页面输入密码，页面显示的是 *****,  右键，查看源文件就可以看见刚才输入的密码，

5，拒绝服务

分析：攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序，最终使程序陷入瘫痪。需要做负载均衡来对付。

6，不安全的配置管理

分析：Config中的链接字符串以及用户信息，邮件，数据存储信息都需要加以保护

程序员应该作的：配置所有的安全机制，关掉所有不使用的服务，设置角色权限帐号，使用日志和警报。

分析：用户使用缓冲区溢出来破坏web应用程序的栈，通过发送特别编写的代码到web程序中，攻击者可以让web应用程序来执行任意代码。

7，注入式漏洞。
例：一个验证用户登陆的页面，

如果使用的sql语句为：

Select *  from  table A where  username＝’’ + username+’’ and pass word …..

Sql 输入  ‘ or 1＝1 ――  就可以不输入任何password进行攻击


8，不恰当的异常处理

分析：程序在抛出异常的时候给出了比较详细的内部错误信息，暴露了不应该显示的执行细节，网站存在潜在漏洞，

9，不安全的存储

分析：帐号列表：系统不应该允许用户浏览到网站所有的帐号，如果必须要一个用户列表，推荐使用某种形式的假名（屏幕名）来指向实际的帐号。

浏览器缓存：认证和会话数据不应该作为GET的一部分来发送，应该使用POST，

10       问题：跨站脚本（XSS）

分析：攻击者使用跨站脚本来发送恶意代码给没有发觉的用户，窃取他机器上的任意资料

测试方法：

•       HTML标签：<…>…</…>

•       转义字符：&(&)；<(<)；>(>)； (空格) ；

•       脚本语言：

   <script language=‘javascript’>

   …Alert(‘’)

   </script>

•       特殊字符：‘  ’ <  >  /

•       最小和最大的长度

•       是否允许空输入

作者: zhangj8826 时间: 2008-4-24 13:13
学习了，长进不少啊。谢LZ了

作者: 阿七 时间: 2008-4-25 10:56
o(∩_∩)o... 有帮助就好

作者: lanfish319 时间: 2008-4-25 16:20
顶了支持!~

作者: yangihan 时间: 2008-5-8 14:54
多谢！顶

作者: 阿七 时间: 2008-5-13 11:28

作者: 小狐狸如如 时间: 2008-5-19 23:17

真不错，收下了，明天好好的看看

作者: bzcyer 时间: 2008-5-23 10:14
已阅

作者: zkfxysy 时间: 2008-5-23 11:42
正在进军web测试行业，谢谢了

作者: lyky2006 时间: 2008-6-13 14:27
标题: 网太大了
网太大了
希望能小点
从单一的地方入手
效果会更好

作者: 小一 时间: 2008-6-14 09:20
谢谢楼主~

作者: mickeyai 时间: 2008-6-16 13:59

Thanks!

作者: 阿七 时间: 2008-6-17 15:05
谢谢你们的意见我会努力做好的

作者: yangtesting 时间: 2008-6-17 16:43
谁能找个实际网站测试例子让大家参考参考

作者: simpleqq 时间: 2008-6-20 15:13
好贴，要顶
有不少启发啊！

作者: 阿七 时间: 2008-6-20 15:31

原帖由 simpleqq 于 2008-6-20 15:13 发表
好贴，要顶
有不少启发啊！

难得有美女夸我哈

作者: 小老虎菲菲 时间: 2008-6-23 10:13
不错的帖有用的

作者: bzfyhfyh 时间: 2008-6-23 10:32
好贴，嘻嘻

[ 本帖最后由 bzfyhfyh 于 2008-6-23 10:38 编辑 ]

作者: 阿七 时间: 2008-7-1 14:29

原帖由 bzfyhfyh 于 2008-6-23 10:32 发表
好贴，嘻嘻

作者: wanghaiping1111 时间: 2008-7-2 10:07
真不错，收下了

作者: dsy851009 时间: 2008-7-12 23:25
看不懂
呜呜。。。。。

作者: 低头浅笑 时间: 2008-7-14 09:38

这帖子真不错啊，LZ继续发些好帖。

作者: dsy851009 时间: 2008-8-1 10:35
不错，正要这个呢

作者: 盛唐校尉 时间: 2008-8-1 17:20
有用啊！！！受用了！！！以后对工作是很大的帮助啊！！！

作者: shunfyu 时间: 2008-8-5 22:23

作者: lovsnow 时间: 2008-8-7 16:29
正好要做总结，可以参考下，谢谢了

作者: 临山倚泉 时间: 2008-10-31 20:07
好文章，学习了。。。

作者: wmnlzg 时间: 2008-12-2 22:56
先顶一下！

作者: kangxu 时间: 2009-3-11 16:28

作者: binghulanxin 时间: 2009-4-8 16:08
标题: 好棒，能再详细点就更好了！！
::xixill:::

作者: kuaileyun9 时间: 2009-6-8 15:28
不错，，，，顶啦

作者: candy_83 时间: 2009-6-8 16:17
标题: 好贴
不定怎么行！

作者: guoxianchina 时间: 2009-6-16 17:26
3,9有问题吧，问题与描述不匹配

作者: houzeal 时间: 2009-7-10 11:36
好东西~

作者: Peyton 时间: 2009-8-6 11:36
好东西,顶一下噻！

作者: 小玲子110600131 时间: 2009-8-7 11:48
谢谢楼主，学习了

作者: 加菲猫的麦兜 时间: 2009-8-27 17:43
顶了！！！多谢

作者: jessies 时间: 2009-10-23 16:24
恩，看了一下，不错，但是如果可以深入详解则更好

作者: 波罗先生 时间: 2010-2-4 10:15
这个不错
楼主说的东西基本我也都有尝试过，也发现了不少问题
只是我不够牛

作者: zling19 时间: 2010-2-24 12:26
正在研究中~~~~~~~

作者: 醉看夕阳红 时间: 2010-2-26 16:11
总结的太好了

作者: molishuijing 时间: 2010-2-26 16:25
不错

作者: lanfish319 时间: 2010-3-9 11:06

学习了。谢谢·

作者: 小鱼oO 时间: 2010-3-29 13:09
好，但是很多我不明白

作者: shpp_xy_81 时间: 2010-4-13 13:26
正好对我有用，谢谢哦！

作者: zwj51 时间: 2010-4-21 13:13
距离版主发帖已两年，仍受用，谢谢

作者: netorgcom 时间: 2010-6-15 11:30
好，顶一个

作者: ganlanlv 时间: 2010-9-1 16:26
学习了。谢谢lz用心总结。

作者: Gasgoo 时间: 2010-9-19 11:16
谢谢。。。比较明确。

作者: lixiaoyer 时间: 2010-10-13 11:57
有些概念很模糊，看来跟lz还差一个档次，继续努力学习

作者: cms19851001 时间: 2010-10-21 11:52
受益匪浅啊

作者: 819longjiayan 时间: 2010-11-2 12:49
好帖。。。要是能对每个测试点解释得详细点就非常不错了。。。让没做过的人更容易看懂。。。现在我就是似懂非懂。。。

作者: wyfyan 时间: 2010-11-30 12:25
好帖，顶

作者: ananbo 时间: 2010-12-2 16:42
楼主圣明~

作者: he_jian 时间: 2011-1-19 14:40

作者: shizuyu 时间: 2011-1-24 18:47
有帮助，顶

作者: ericzhou2009 时间: 2011-1-28 11:33
多谢！顶

作者: hbch521 时间: 2011-4-21 12:54
session 和 cookie的安全测试怎么做，一般怎样才算是有安全漏洞

作者: jxbygq 时间: 2011-5-17 23:20
还不错，内容少了点

作者: ll0096 时间: 2011-6-1 13:59
学习了，长进不少啊。谢LZ了

作者: testquestion 时间: 2011-6-22 11:34
不错，赞！学习了~~~

作者: wengxq999 时间: 2011-6-23 10:07
有用！

作者: Nitong 时间: 2011-6-23 12:34
虽然不是做WEB的，但学到了自己欠缺的知识，还没看懂太多，留着以后再学~ 感谢LZ分享！

作者: kobezah 时间: 2011-7-13 13:49
谢谢LZ，目前较缺少这方面的经验，先学习了。

作者: myk5188 时间: 2011-7-18 11:33
到头来还得学习学习开发的知识啊。。。

作者: yandaju 时间: 2011-7-31 13:27
不错

作者: 袭月 时间: 2011-8-22 16:41
LZ Acunetix__web__vulnerality_scanner 这个扫描之后做什么呀？

作者: moyiyun 时间: 2011-11-4 10:05
来啦！留个爪

作者: gaichifanle 时间: 2011-11-9 17:20
浏览一下，谢谢分享。

作者: Drayce 时间: 2012-1-10 10:48

作者: paopaobing 时间: 2012-5-3 14:55
谢谢楼主的分享

作者: liuyuwangood 时间: 2012-5-21 16:54

作者: Diana_zhaozhao 时间: 2012-6-6 14:43
谢谢楼主，收了

作者: 青miao 时间: 2012-11-20 13:44

作者: janehost 时间: 2013-4-3 16:07
学习了

作者: janehost 时间: 2013-4-7 17:30
多谢楼主了

作者: duanguanwu 时间: 2013-4-8 13:19
真不错。。谢谢楼主。。顶起来。。哈哈

作者: ingwlhot0801 时间: 2013-4-10 13:14
好东西

作者: ingwlhot0801 时间: 2013-4-22 09:33
好东西

作者: ahaxi 时间: 2013-4-22 19:20
真的不错，注点水

作者: Miss_love 时间: 2013-11-14 09:28
巩固了。

作者: barcelona 时间: 2013-12-4 10:57
3 错误的认证和会话管理

例：对Grid、Label、Tree view类的输入框未作验证，输入的内容会按照html语法解析出来
这个什么意思呢

作者: ljw375 时间: 2014-7-31 11:28
感谢分享，形式不重要，内容是主要的。

作者: testdc 时间: 2014-8-2 12:42
mark了有空再看

作者: 冉冉的小屋 时间: 2015-11-11 10:30
写的很不错，谢谢lz共享

作者: 猫星人 时间: 2015-11-18 13:51
看看学习，靠这个觉得还不够啊。

作者: o0o0123 时间: 2016-3-2 10:33
学习中~ 谢谢分享宝贵的经验

作者: 空灵dj 时间: 2016-3-14 14:30

作者: 1757927530 时间: 2017-1-10 17:12
了解，感谢

作者: 海蓝色95 时间: 2017-2-16 11:40
thk

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)