系統(tǒng)安全測(cè)試報(bào)告模版v10(編輯修改稿)
2025-04-21 07:03 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 一個(gè)頁(yè)面的間隙可以看到URL地址 直接輸入該地址，可以看到自己沒(méi)有權(quán)限的頁(yè)面信息. 認(rèn)證與會(huì)話管理例：對(duì)Grid、Label、Tree view類的輸入框未做驗(yàn)證，輸入的內(nèi)容會(huì)按照html語(yǔ)法解析出來(lái). 緩沖區(qū)溢出沒(méi)有加密關(guān)鍵數(shù)據(jù)例：view－source：地址可以查看源代碼在頁(yè)面輸入密碼，頁(yè)面顯示的是 *****, 右鍵，查看源文件就可以看見剛才輸入的密碼。. 拒絕服務(wù)分析：攻擊者可以從一個(gè)主機(jī)產(chǎn)生足夠多的流量來(lái)耗盡狠多應(yīng)用程序，最終使程序陷入癱瘓。需要做負(fù)載均衡來(lái)對(duì)付。. 不安全的配置管理分析：Config中的鏈接字符串以及用戶信息，郵件，數(shù)據(jù)存儲(chǔ)信息都需要加以保護(hù)程序員應(yīng)該作的： 配置所有的安全機(jī)制，關(guān)掉所有不使用的服務(wù)，設(shè)置角色權(quán)限帳號(hào)，使用日志和警報(bào)。分析：用戶使用緩沖區(qū)溢出來(lái)破壞web應(yīng)用程序的棧，通過(guò)發(fā)送特別編寫的代碼到web程序中，攻擊者可以讓web應(yīng)用程序來(lái)執(zhí)行任意代碼。. 注入式漏洞例：一個(gè)驗(yàn)證用戶登陸的頁(yè)面， 如果使用的sql語(yǔ)句為： Select * from table A where username＝’’ + username+’’ and pass word ….. Sql 輸入 ‘ or 1＝1 ―― 就可以不輸入任何password進(jìn)行攻擊或者是半角狀態(tài)下的用戶名與密碼均為：‘or’‘=’。. 不恰當(dāng)?shù)漠惓Ｌ幚矸治觯撼绦蛟趻伋霎惓５臅r(shí)候給出了比較詳細(xì)的內(nèi)部錯(cuò)誤信息，暴露了不應(yīng)該顯示的執(zhí)行細(xì)節(jié)，網(wǎng)站存在潛在漏洞。. 不安全的存儲(chǔ)分析：帳號(hào)列表：系統(tǒng)不應(yīng)該允許用戶瀏覽到網(wǎng)站所有的帳號(hào)，如果必須要一個(gè)用戶列表，推薦使用某種形式的假名（屏幕名）
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1