安全性測試初步接觸(已修改)
2025-01-29 08:27 本頁面
【正文】 初步分類： 權(quán)限 （黑盒 +sql注入 +目錄遍歷 +非法文件與文字上傳與寫入） 加密 （網(wǎng)絡(luò)傳輸、本地 cookie、源文件、認(rèn)證與會話） 攻擊 （緩沖區(qū)溢出、 sql注入、異常處理信息、端口掃描、服務(wù)器攻擊、跨站腳本攻擊、 回車換行注入攻擊、代碼注入、url重定向、 google攻擊） 理論篇 ? 做的比較粗糙，大家在這塊有什么可以交流下， ? 消逝 ? ? 黑盒主要測試點(diǎn) 用戶管理模塊，權(quán)限管理模塊，加密系統(tǒng)，認(rèn)證系統(tǒng)等 ? 工具使用 Appscan（首要）、 Acuix Web Vulnerability Scanner（備用）、 HttpAnalyzerFull、 TamperIESetup ? 木桶原理 安全性最低的模塊將成為瓶頸，需整體提高 ? 他人模型 （雖然比較舊了） 安全管理與審計 物理層安全 網(wǎng)絡(luò)層安全 傳輸層安全 應(yīng)用層安全 鏈路層 物理層 網(wǎng)絡(luò)層 傳輸層 應(yīng)用層 表示層 會話層 審計與監(jiān)控 身份認(rèn)證 數(shù)據(jù)加密 數(shù)字簽名 完整性鑒別 端到端加密 訪問控制 點(diǎn)到點(diǎn)鏈路加密 物理信道安全 ?訪問控制 ?數(shù)據(jù)機(jī)密性 ?數(shù)據(jù)完整性 ?用戶認(rèn)證 ?防抵賴 ?安全審計 網(wǎng)絡(luò)安全層次 層次 模型 網(wǎng)絡(luò)安全技術(shù) 實(shí)現(xiàn)安全目標(biāo) 用戶 安全 （一）可手工執(zhí)行或工具執(zhí)行 ? 輸入的數(shù)據(jù)沒有進(jìn)行有效的控制和驗(yàn)證 ? 用戶名和密碼 ? 直接輸入需要權(quán)限的網(wǎng)頁地址可以訪問 ? 上傳文件沒有限制 （ 此次不需要 ） ? 不安全的存儲 ? 操作時間的失效性 ）輸入的數(shù)據(jù)沒有進(jìn)行有效的控制和驗(yàn)證 ? 數(shù)據(jù)類型（字符串，整型，實(shí)數(shù)，等） ? 允許的字符集 ? 最小和最大的長度 ? 是否允許空輸入 ? 參數(shù)是否是必須的 ? 重復(fù)是否允許 ? 數(shù)值范圍 ? 特定的值（枚舉型） ? 特定的模式（正則表達(dá)式）（注：建議盡量采用白名單） ）用戶名和密碼 1 ? 檢測接口程序連接登錄時，是否需要輸入相應(yīng)的用戶 ? 是否設(shè)置密碼最小長度（密碼強(qiáng)度） ? 用戶名和密碼中是否可以有空格或回車？ ? 是否允許密碼和用戶名一致 ? 防惡意注冊：可否用自動
試題試卷相關(guān)推薦
鄂ICP備17016276號-1