安全性測試初步接觸-全文預(yù)覽
【正文】 證 數(shù)據(jù)加密 數(shù)字簽名 完整性鑒別 端到端加密 訪問控制 點到點鏈路加密 物理信道安全 ?訪問控制 ?數(shù)據(jù)機(jī)密性 ?數(shù)據(jù)完整性 ?用戶認(rèn)證 ?防抵賴 ?安全審計 網(wǎng)絡(luò)安全層次 層次 模型 網(wǎng)絡(luò)安全技術(shù) 實現(xiàn)安全目標(biāo) 用戶 安全 （一）可手工執(zhí)行或工具執(zhí)行 ? 輸入的數(shù)據(jù)沒有進(jìn)行有效的控制和驗證 ? 用戶名和密碼 ? 直接輸入需要權(quán)限的網(wǎng)頁地址可以訪問 ? 上傳文件沒有限制 （ 此次不需要 ） ? 不安全的存儲 ? 操作時間的失效性 ）輸入的數(shù)據(jù)沒有進(jìn)行有效的控制和驗證 ? 數(shù)據(jù)類型（字符串，整型，實數(shù)，等） ? 允許的字符集 ? 最小和最大的長度 ? 是否允許空輸入 ? 參數(shù)是否是必須的 ? 重復(fù)是否允許 ? 數(shù)值范圍 ? 特定的值（枚舉型） ? 特定的模式（正則表達(dá)式）（注：建議盡量采用白名單） ）用戶名和密碼 1 ? 檢測接口程序連接登錄時，是否需要輸入相應(yīng)的用戶 ? 是否設(shè)置密碼最小長度（密碼強度） ? 用戶名和密碼中是否可以有空格或回車？ ? 是否允許密碼和用戶名一致 ? 防惡意注冊：可否用自動填表工具自動注冊用戶？ （傲游等） ? 遺忘密碼處理 ? 有無缺省的超級用戶 ?（ admin等，關(guān)鍵字需屏蔽） ? 有無超級密碼 ? ? 是否有校驗碼？ ）用戶名和密碼 2 ? 密碼錯誤次數(shù)有無限制？ ? 大小寫敏感？ ? 口令不允許以明碼顯示在輸出設(shè)備上 ? 強制修改的時間間隔限制（初始默認(rèn)密碼） ? 口令的唯一性限制（看需求是否需要） ? 口令過期失效后，是否可以不登陸而直接瀏覽某個頁面 ? 哪些頁面或者文件需要登錄后才能訪問 /下載 ? cookie中或隱藏變量中是否含有用戶名、密碼、 userid等關(guān)鍵信息 ）直接輸入需要權(quán)限的網(wǎng)頁地址可以訪問 ? 避免研發(fā)只是簡單的在客戶端不顯示權(quán)限高的功能項 舉例 Bug： ? 沒有登錄或注銷登錄后，直接輸入登錄后才能查看的頁面的網(wǎng)址（含跳轉(zhuǎn)頁面），能直接打開頁面； ? 注銷后，點瀏覽器上的后退，可以進(jìn)行操作。 ? 上傳木馬病毒等（往往與權(quán)限一起驗證） ? 上傳文件最好要有格式的限制； 此次我們不需要驗證此處，簡單介紹下，跳過 ）不安全的存儲 ? 在頁面輸入密碼，頁面應(yīng)顯示 “ *****” ； ? 數(shù)據(jù)庫中存的密碼應(yīng)經(jīng)過加密； ? 地址欄中不可以看到剛才填寫的密碼； ? 右鍵查看源文件不能看見剛才輸入的密碼； ? 帳號列表：系統(tǒng)不應(yīng)該允許用戶瀏覽到網(wǎng)站所有的帳號，如果必須要一個用戶列表，推薦使用某種形式的假名（屏
試題試卷相關(guān)推薦
鄂ICP備17016276號-1