web 安全测试培训

《web 安全测试培训》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、WebWebWebWeb安全测试安全测试安全测试安全测试HimanHimanHimanHimanAboutMeAboutMeID:HimanID:HimanName:LeeXueQingName:LeeXueQingCompany:360buy.comCompany:360buy.comResponsibilityResponsibility：：websecuritywebsecurityMail:Mail:winner__1@sohu.comwinner__1@sohu.comNewsNewsNewsNewsNewsN

2、ewsNewsNews小叮当小叮当小叮当小叮当信息安全的现状•信息安全环境越来越复杂•黑客攻击越来越容易•漏洞利用速度越来越快•地下黑色产业链越来越庞大地下黑客产业链地下黑客产业链Web安全测试的意义1、增强网站的健壮性2、预防非法用户的攻击3、保护使用者的安全4、使非法侵入的代价超过被保护信息的价值Web安全测试的方法•SQL注入•跨站脚本（XSS）•失效的身份认证和会话管理•不安全的直接对象引用•跨站请求伪造（CSRF）•安全配置错误（新）•不安全的加密存储•没有限制URL访问•传输层保护不足•未验证的重定向和转发（

3、新）9Web安全测试的方法•地址栏关键字段加密•网站地址暴库•无过滤的上传功能•登录信息提示•提交请求防重入•网页脚本错误SQL注入Web应用程序执行来自外部包括数据库在内的恶意指令，SQLInjection与CommandInjection等攻击包括在内。如果没有阻止带有语法含义的输入内容，有可能导致对数据库信息的非法访问，在Web表单中输入的内容应该保持简单，并且不应包含可被执行的代码。SQL注入测试对象：•可以进行传参的URLhttp://www.shuanghuipack.com/news_detail_cn.a

4、sp?id=81and1=2http://bbs.360buy.com/forum.php?archiver=1XSS跨站攻击Web应用程序直接将来自用户的执行请求送回浏览器执行，使得攻击者可截取用户的Cookie或Session数据而能假冒直接登入为合法使用者。XSS跨站攻击测试对象：•可以进行传参的URL•网页中可进行输入的表单http://search.dangdang.com/search.php?key=http://search.dangdang.co

5、m/search.php?key=%3cscript%3ealert('xss')%3c%2fscript%3e注：IE6浏览器对跨站拦截不彻底！失效的身份认证和会话管理只对首次传送的Cookie加以验证，程序没有持续对Cookie中内含信息验证比对，攻击者便可修改Cookie中的重要信息，以提升权限进行网站数据存取，或是冒用他人账号取得个人私密资料。失效的身份认证和会话管理测试对象：•可以进行传参的URL•提交请求页面•登录后的cookiehttp://m.360buy.com/user/home.action?sid

6、=a04d85503e040cbc7e2fe048ff7104ce不安全的直接对象引用在具导出/下载功能的页面参数中修改内容，WEB服务器便会导出/下载程序源代码或者指定文件。不安全的直接对象引用测试对象：URL中有用户参数的地址可以进行下载操作的地址http://www.51btest.cn/FileDown_Show.aspx?did=1586http://demo.testfire.net/default.aspx?content=/../../../../../../../../boot.ini%00.htm跨站

7、伪造请求攻击者通过调用第三方网站的恶意脚本来伪造请求，在用户不知情时攻击者强行提交构造的具有“操作行为”的数据包跨站伪造请求测试对象：•网页中可进行输入的表单•网页中地址栏进行传参的地址安全配置错误这些漏洞会导致系统完全被攻破。错误安全配置可以发生在一个应用程序堆栈的任何层面，包括平台、Web服务器、应用服务器、框架和自定义代码。安全配置错误测试对象：多级目录地址网站报错的页面http://w3.sapir.ac.il/pm/to_miriam/IMG_8522.jpghttp://collegial.360buy.co

8、m/collegial/userlogin/user_admin_login.aspx所有的错误都只显示友好信息，不显示任何与实际错误相关的信息不安全的加密存储常见的问题是不安全的密钥生成和储存、不轮换密钥，和使用弱算法。使用弱的或者不带salt的哈希算法来保护密码也很普遍。外部攻击者因访问的局限性很难探测这种漏洞。