web安全测试技术分享

海鸥一飞

安全测试，以前我觉得就是防止SQL注入，再高深一点嘛就是解密，找后门。说白了就是破坏和防止的
对抗。这是一个永无止境的对垒！

今天肤浅的分享一些我认知的安全测试内容：

1.firefox有一个牛逼的插件firebug，当然其他浏览器也有开发者视角。（fiddler也很棒，这里不做说明）

打开firebug测试员就能直观的看到HTML脚本、CSS样式和DOM模型。测试狗可以看到每个get和每个post，
查看密码是否加密，接口返回值是否异常，可以动态编辑源码。上线的服务应该对接口进行加密，否则极
容易引发恶意用户攻击服务器或者恶意获取大量有效信息。

2.安全攻击都有哪些？

1.注入攻击漏洞 如下图所示这就是很有问题的一串代码，账号中输入 'a'or '1'='1' 密码输入123456789，
很容易就登录了。



有一定经验的程序员会始终以PreparedStatement代替Statement.（当然用不安全字符、字符串过滤
也是很不错的选择）如下图所示

那么有人要问了，我没有开发经验，没读过关于安全测试的书，我应该怎么办？

其实很简单----appscan解决你的困扰(具体百度)

2.跨站脚本攻击