web測試點整理(六) -- 安全性測試

• SQL注入

        參考（ http://blog.csdn.net/stilling2006/article/details/8526458/）

        簡單來講就是在URL嵌入參數或者SQL語句，經過漏洞來獲取數據庫的內容。

        爲了阻止這種攻擊，須要在代碼中增強校驗。而且關鍵數據不能明文存儲。

 

• XSS跨網站腳本攻擊

        程序或數據庫沒有對一些特殊字符進行過濾或處理，致使用戶所輸入的一些破壞性的腳本語句可以直接寫進數據庫中，瀏覽器會直接執行這些腳本語句，破壞網站的正常顯示，或網站用戶的信息被盜,構造腳本語句時，要保證腳本的完整性。

　　document.write("abc")

　　<script>alter("abc")</script>

 

• 其它
• • 安全網頁應該使用HTTPS協議
  • 崩潰頁面中不該該泄露應用程序或服務器信息
  • 錯誤頁面或者錯誤消息不該該投了任何敏感信息
  • 測試密碼安全性和密碼強制策略
  • 檢查應用程序的註銷功能
  • cookie信息只能以加密的格式存儲
  • 密碼不該該存儲在cookie中
  • 檢測內存泄露
  • 經過在瀏覽器地址欄中手動更改變量值訪問未經受權的應用程序
  • 對文件上傳功能應使用文件類型限制和反病毒掃面上傳的文件
  • 驗證碼更新問題
  • 如今的Web應用系統基本採用先註冊，後登錄的方式。所以，必須測試有效和無效的用戶名和密碼，要注意到是否大小寫敏感，能夠試多少次的限制，是否能夠不登錄而直接瀏覽某個頁面等。
  • Web應用系統是否有超時的限制，也就是說，用戶登錄後在必定時間內（例如15分鐘）沒有點擊任何頁面，是否須要從新登錄才能正常使用。
  • 爲了保證Web應用系統的安全性，日誌文件是相當重要的。須要測試相關信息是否寫進了日誌文件、是否可追蹤。
  • 當使用了安全套接字時，還要測試加密是否正確，檢查信息的完整性。
  • 服務器端的腳本經常構成安全漏洞，這些漏洞又經常被黑客利用。因此，還要測試沒有通過受權，就不能在服務器端放置和編輯腳本的問題。