《web安全性测试》word版

《《web安全性测试》word版》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、安全性测试安全性测试主要是测试系统在没有授权的内部或者外部用户对系统进行攻击或者恶意破坏时如何进行处理，是否仍能保证数据和页面的安全。测试人员可以学习一些黑客技术，来对系统进行攻击。另外，对操作权限的测试也包含在安全性测试中。具体测试内容如下：执行添加、删除、修改等动作中是否做过登录检测。退出系统之后的操作是否可以完成。所有插入表单操作中输入特殊字符是否可以正常输正常存储，特殊字符为：！?#￥%……—*（）~——-+=[]{}、

2、；：‘”？/《》<>，。在带有参数的回显数据的动作中更改参数，把参数改为特殊字符并加入操作语句看是否出错。测试表单中有没有做

3、标签检测，标签检测是否完整。在插入表单中加入特殊的HTML代码，例如：表单中的字本是否移动？。系统安全性测试的十个重要问题1:没有被验证的输入测试方法：数据类型（字符串，整型，实数，等）允许的字符集最小和最大的长度是否允许空输入参数是否是必须的重复是否允许数值范围特定的值（枚举型）特定的模式（正则表达式）2:有问题的访问控制测试方法：主要用于需要验证用户身份以及权限的页面，复制该页面的url地址，关闭该页面以后，查看是否可以直接进入该复制好的地址；例：从一个页面链到另一个页面的间隙可以看到URL地址，直接输入该地址

4、，可以看到自己没有权限的页面信息；3:错误的认证和会话管理分析：帐号列表：系统不应该允许用户浏览到网站所有的帐号，如果必须要一个用户列表，推荐使用某种形式的假名（屏幕名）来指向实际的帐号。浏览器缓存：认证和会话数据作为GET的一部分来发送认证和会话数据不应该作为GET的一部分来发送，应该使用POST，例：对Grid、Label、Treeview类的输入框未作验证，输入的内容会按照html语法解析出来；4:跨站脚本（XSS　XSS又叫CSS(CrossSiteScript)，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该

5、页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常忽略其危害性。而本文主要讲的是利用XSS得到目标服务器的shell）分析：攻击者使用跨站脚本基本简介　　脚本是批处理文件的延伸，是一种纯文本保存的程序，一般来说的计算机脚本程序是确定的一系列控制计算机进行运算操作动作的组合，在其中可以实现一定的逻辑分支等。　　脚本简单地说就是一条条的文字命令，这些文字命令是可以看到的（如可以用记事本打开查看、编辑），脚本程序在执行时，是由系统的一个解释器，将其一条条的翻译成机器可识

6、别的指令，并按程序顺序执行。因为脚本在执行时多了一道翻译的过程，所以它比二进制程序执行效率要稍低一些。　　脚本通常可以由应用程序临时调用并执行。各类脚本被广泛地应用于网页设计中，因为脚本不仅可以减小网页的规模和提高网页浏览速度，而且可以丰富网页的表现，如动画、声音等。举个最常见的例子，当点击网页上的Email地址时能自动调用OutlookExpress或Foxmail这类邮箱软件，就是通过脚本功能来实现的。也正因为脚本的这些特点，往往被一些别有用心的人所利用。例如在脚本中加入一些破坏计算机系统的命令，这样当用户浏览网页时，一旦调用这类脚本，便会使用户的

7、系统受到攻击。所以用户应根据对所访问网页的信任程度选择安全等级，特别是对于那些本身内容就非法的网页，更不要轻易允许使用脚本。通过“安全设置”对话框，选择“脚本”选项下的各种设置就可以轻松实现对脚本的禁用和启用。[编辑本段]相关语言　　脚本语言是比较多的，一般的脚本语言的执行只同具体的解释执行器有关，所以只要系统上有相应语言的解释程序就可以做到跨平台。脚本(Script)，就是含有bind和alias等命令的集合，你可以把这个集合存为一个独立的文件然后在需要的时候执行，这样就可以方便你在CS中的使用。脚本可以存为后缀名为.cfg的文件放在cstrike文

8、件夹下，执行时在控制台输入：exec（脚本文件名）.cfg即可。比如将一个脚本存为buys.cfg文件，则在控制台中输入：execbuys.cfg则可以实现我们所需要的功能。要实现一个命令只要把这一过程定义(alias)好，并且分配一个键位给这个命令，以后只要按分配好的键位，就可以实现这一过程。所有的脚本都是通过这一方法实现的。　　常见的脚本语言：Scala、JavaScript，VBScript，ActionScript，MAXScript，ASP，JSP，PHP，SQL，Perl，Shell，python，Ruby，JavaFX，Lua，AutoI

9、t等。[编辑本段]主要特性　　语法和结构通常比较简单　　学习和使用通常比较简单　　通常以容易修