web安全性測(cè)試測(cè)試用例基礎(chǔ)資料(編輯修改稿)
2025-04-23 23:42 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ★body onload=javascript:alert(([code])/body ★a?scriptalert(’Vulnerable’)/script★!39。amp。:var from = ‘$!(’from’)39?！ ar from = ”。hackerFunction()。”。scriptalert(hello)/scriptamp。nid=MAPBXITBJRQMYWJRXPCBX5. 跨站請(qǐng)求偽造（CSRF）同個(gè)瀏覽器打開兩個(gè)頁(yè)面，一個(gè)頁(yè)面權(quán)限失效后，另一個(gè)頁(yè)面是否可操作成功。當(dāng)頁(yè)面沒有CHECKCODE時(shí)，查看頁(yè)面源代碼，查是是否有token。如果頁(yè)面完全是展示頁(yè)面，是不會(huì)有token的。一、 用戶注冊(cè)只從用戶名和密碼角度寫了幾個(gè)要考慮的測(cè)試點(diǎn)，如果需求中明確規(guī)定了安全問題，Email，出生日期，地址，性別等等一系列的格式和字符要求，那就都要寫用例測(cè)了~以等價(jià)類劃分和邊界值法來分析： 用戶名字和密碼都為最大長(zhǎng)度（邊界值分析，取上點(diǎn)） ：用戶名字和密碼都為最小長(zhǎng)度（邊界值分析，取上點(diǎn)）：用戶名字和密碼都是非最大和最小長(zhǎng)度的數(shù)據(jù)（邊界值分析，取內(nèi)點(diǎn)）（邊界值分析，取離點(diǎn)）（邊界值分析，取離點(diǎn)）（邊界值分析，取離點(diǎn)）（邊界值分析，取離點(diǎn)）（這個(gè)可以劃分幾個(gè)無效的等價(jià)類，一般寫一兩個(gè)就行了，如含有空格，等，看需求是否允許吧~）（這個(gè)可以劃分幾個(gè)無效的等價(jià)類，一般寫一兩個(gè)就行了）（如果注冊(cè)時(shí)候要輸入兩次密碼，那么這個(gè)是必須的），來注冊(cè)。（有的需求是區(qū)分大小寫，有的不區(qū)分）；密碼是否可以復(fù)制粘貼；密碼是否以* 之類的加秘符號(hào)顯示備注：邊界值的上點(diǎn)、內(nèi)點(diǎn)和離點(diǎn)大家應(yīng)該都知道吧，呵呵，這里我就不細(xì)說了~~二、 修改密碼當(dāng)然具體情況具體分析哈~不能一概而論~實(shí)際測(cè)試中可能只用到其中幾條而已，比如銀行卡密碼的修改，就不用考慮英文和非法字符，更不用考慮那些ＴＡＰ之類的快捷鍵。而有的需要根據(jù)需求具體分析了，比如連續(xù)出錯(cuò)多少次出現(xiàn)的提示，和一些軟件修改密碼要求一定時(shí)間內(nèi)有一定的修改次數(shù)限制等等。，直接改密碼+1+1（如有的密碼要求必須是英文和數(shù)字組成，那么要試漢字和符號(hào)等）；密碼是否可以復(fù)制粘貼；密碼是否以* 之類的加秘符號(hào)，新密碼中英文小寫，確認(rèn)密碼中英文大寫另外一些其他的想法如下：1 要測(cè)試所有規(guī)約中約定可以輸入的特殊字符，字母，和數(shù)字，要求都可以正常輸入、顯示正常和添加成功2 關(guān)注規(guī)約中的各種限制，比如長(zhǎng)度，大否支持大小寫。3 考慮各種特殊情況，比如添加同名用戶，系統(tǒng)是否正確校驗(yàn)給出提示信息，管理員帳戶是否可以刪除，因?yàn)橛行┫到y(tǒng)管理員擁有最大權(quán)限，一旦刪除管理員帳戶，就不能在前臺(tái)添加，這給最終用戶會(huì)帶來很多麻煩。比較特殊的是，當(dāng)用戶名中包括了特殊字符，那么對(duì)這類用戶名的添加同名，修改，刪除，系統(tǒng)是否能夠正確實(shí)現(xiàn)，我就遇到了一個(gè)系統(tǒng)，添加同名用戶時(shí)，如果以前的用戶名沒有特殊字符，系統(tǒng)可以給出提示信息，如果以前的用戶名包含特殊字符，就不校驗(yàn)在插入數(shù)據(jù)庫(kù)的時(shí)候報(bào)錯(cuò)。后來查到原因了，原來是在java中拼SQL語(yǔ)句的時(shí)候，因?yàn)橛衉，所以就調(diào)用了一個(gè)方法在“_”，前面加了一個(gè)轉(zhuǎn)義字符，后來發(fā)現(xiàn)不該調(diào)用這個(gè)方法。所以去掉就好了。所以對(duì)待輸入框中的特殊字符要多關(guān)注。4 數(shù)值上的長(zhǎng)度 之類的，包括出錯(cuò)信息是否合理 5 特殊字符：比如。 / 39。 \ /html 這些是否會(huì)造成系統(tǒng)崩潰6 注入式bug：比如密碼輸入個(gè)or 1=17 登錄后是否會(huì)用明文傳遞參數(shù)8 訪問控制（不知道這個(gè)算不算）：登錄后保存里面的鏈接，關(guān)了瀏覽器直接復(fù)制鏈接看能不能訪問。輸入框測(cè)試 1．驗(yàn)證輸入與輸出的是否信息一致； 2．輸入框之前的標(biāo)題是否正確； 3．對(duì)特殊字符的處理，尤其是輸入信息徐需要發(fā)送到數(shù)據(jù)庫(kù)的。特殊字符包括：39。（單引號(hào)）、（雙引號(hào)）、[]（中括號(hào)）、()（小括號(hào)）、{}（大括號(hào)）、。（分號(hào)）、（大于小于號(hào)）…… 4．對(duì)輸入框輸入超過限制的字符的處理，一般非特殊的沒有作出限制的在255byte左右； 5．輸入框本身的大小、長(zhǎng)度； 6．不同內(nèi)碼的字符的輸入； 7．對(duì)空格、TAB字符的處理機(jī)制； 8．字符本身顯示的顏色； 9．密碼輸入窗口轉(zhuǎn)換成星號(hào)或其它符號(hào)； 10．密碼輸入框?qū)ζ渲械男畔⑦M(jìn)行加密，防止采用破解星號(hào)的方法破解； 11．按下ctrl和alt鍵對(duì)輸入框的影響； 12．對(duì)于新增、修改、注冊(cè)時(shí)用的輸入框，有限制的，應(yīng)該輸入時(shí)作出提示，指出不允許的或者標(biāo)出允許的； 13．對(duì)于有約束條件要求的輸入框應(yīng)當(dāng)在條件滿足時(shí)輸入框的狀態(tài)發(fā)生相應(yīng)的改變，比如選了湖南就應(yīng)該列出湖南下面的市，或者選了某些條件之后，一些輸入框會(huì)關(guān)閉或轉(zhuǎn)為只讀狀態(tài)； 14．輸入類型；根據(jù)前面的欄位標(biāo)題判斷該輸入框應(yīng)該輸入哪些內(nèi)容算是合理的。例如，是否允許輸入數(shù)字或字母，不允許輸入其他字符等?！ ?；數(shù)據(jù)庫(kù)字段有長(zhǎng)度定義，當(dāng)輸入過長(zhǎng)時(shí)，提交數(shù)據(jù)是否會(huì)出錯(cuò)。 ??；當(dāng)處于某種狀態(tài)下，輸入框是否處于可寫或非可寫狀態(tài)。例如，系統(tǒng)自動(dòng)給予的編號(hào)等欄位作為唯一標(biāo)識(shí)，當(dāng)再次處于編輯狀態(tài)下，輸入框欄位應(yīng)處于不可寫狀態(tài)，如果可寫對(duì)其編輯的話，可能會(huì)造成數(shù)據(jù)重復(fù)引起沖突等。 17．如果是會(huì)進(jìn)行數(shù)據(jù)
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1