web安全性測試測試用例基礎(chǔ)資料(編輯修改稿)
2025-04-23 23:42 本頁面
【文章內(nèi)容簡介】 ★body onload=javascript:alert(([code])/body ★a?scriptalert(’Vulnerable’)/script★!39。amp。:var from = ‘$!(’from’)39?！ ar from = ”。hackerFunction()?！?。scriptalert(hello)/scriptamp。nid=MAPBXITBJRQMYWJRXPCBX5. 跨站請求偽造（CSRF）同個瀏覽器打開兩個頁面，一個頁面權(quán)限失效后，另一個頁面是否可操作成功。當(dāng)頁面沒有CHECKCODE時，查看頁面源代碼，查是是否有token。如果頁面完全是展示頁面，是不會有token的。一、 用戶注冊只從用戶名和密碼角度寫了幾個要考慮的測試點(diǎn)，如果需求中明確規(guī)定了安全問題，Email，出生日期，地址，性別等等一系列的格式和字符要求，那就都要寫用例測了~以等價類劃分和邊界值法來分析： 用戶名字和密碼都為最大長度（邊界值分析，取上點(diǎn)） ：用戶名字和密碼都為最小長度（邊界值分析，取上點(diǎn)）：用戶名字和密碼都是非最大和最小長度的數(shù)據(jù)（邊界值分析，取內(nèi)點(diǎn)）（邊界值分析，取離點(diǎn)）（邊界值分析，取離點(diǎn)）（邊界值分析，取離點(diǎn)）（邊界值分析，取離點(diǎn)）（這個可以劃分幾個無效的等價類，一般寫一兩個就行了，如含有空格，等，看需求是否允許吧~）（這個可以劃分幾個無效的等價類，一般寫一兩個就行了）（如果注冊時候要輸入兩次密碼，那么這個是必須的），來注冊。（有的需求是區(qū)分大小寫，有的不區(qū)分）；密碼是否可以復(fù)制粘貼；密碼是否以* 之類的加秘符號顯示備注：邊界值的上點(diǎn)、內(nèi)點(diǎn)和離點(diǎn)大家應(yīng)該都知道吧，呵呵，這里我就不細(xì)說了~~二、 修改密碼當(dāng)然具體情況具體分析哈~不能一概而論~實(shí)際測試中可能只用到其中幾條而已，比如銀行卡密碼的修改，就不用考慮英文和非法字符，更不用考慮那些ＴＡＰ之類的快捷鍵。而有的需要根據(jù)需求具體分析了，比如連續(xù)出錯多少次出現(xiàn)的提示，和一些軟件修改密碼要求一定時間內(nèi)有一定的修改次數(shù)限制等等。，直接改密碼+1+1（如有的密碼要求必須是英文和數(shù)字組成，那么要試漢字和符號等）；密碼是否可以復(fù)制粘貼；密碼是否以* 之類的加秘符號，新密碼中英文小寫，確認(rèn)密碼中英文大寫另外一些其他的想法如下：1 要測試所有規(guī)約中約定可以輸入的特殊字符，字母，和數(shù)字，要求都可以正常輸入、顯示正常和添加成功2 關(guān)注規(guī)約中的各種限制，比如長度，大否支持大小寫。3 考慮各種特殊情況，比如添加同名用戶，系統(tǒng)是否正確校驗給出提示信息，管理員帳戶是否可以刪除，因為有些系統(tǒng)管理員擁有最大權(quán)限，一旦刪除管理員帳戶，就不能在前臺添加，這給最終用戶會帶來很多麻煩。比較特殊的是，當(dāng)用戶名中包括了特殊字符，那么對這類用戶名的添加同名，修改，刪除，系統(tǒng)是否能夠正確實(shí)現(xiàn)，我就遇到了一個系統(tǒng)，添加同名用戶時，如果以前的用戶名沒有特殊字符，系統(tǒng)可以給出提示信息，如果以前的用戶名包含特殊字符，就不校驗在插入數(shù)據(jù)庫的時候報錯。后來查到原因了，原來是在java中拼SQL語句的時候，因為有_，所以就調(diào)用了一個方法在“_”，前面加了一個轉(zhuǎn)義字符，后來發(fā)現(xiàn)不該調(diào)用這個方法。所以去掉就好了。所以對待輸入框中的特殊字符要多關(guān)注。4 數(shù)值上的長度 之類的，包括出錯信息是否合理 5 特殊字符：比如。 / 39。 \ /html 這些是否會造成系統(tǒng)崩潰6 注入式bug：比如密碼輸入個or 1=17 登錄后是否會用明文傳遞參數(shù)8 訪問控制（不知道這個算不算）：登錄后保存里面的鏈接，關(guān)了瀏覽器直接復(fù)制鏈接看能不能訪問。輸入框測試 1．驗證輸入與輸出的是否信息一致； 2．輸入框之前的標(biāo)題是否正確； 3．對特殊字符的處理，尤其是輸入信息徐需要發(fā)送到數(shù)據(jù)庫的。特殊字符包括：39。（單引號）、（雙引號）、[]（中括號）、()（小括號）、{}（大括號）、。（分號）、（大于小于號）…… 4．對輸入框輸入超過限制的字符的處理，一般非特殊的沒有作出限制的在255byte左右； 5．輸入框本身的大小、長度； 6．不同內(nèi)碼的字符的輸入； 7．對空格、TAB字符的處理機(jī)制； 8．字符本身顯示的顏色； 9．密碼輸入窗口轉(zhuǎn)換成星號或其它符號； 10．密碼輸入框?qū)ζ渲械男畔⑦M(jìn)行加密，防止采用破解星號的方法破解； 11．按下ctrl和alt鍵對輸入框的影響； 12．對于新增、修改、注冊時用的輸入框，有限制的，應(yīng)該輸入時作出提示，指出不允許的或者標(biāo)出允許的； 13．對于有約束條件要求的輸入框應(yīng)當(dāng)在條件滿足時輸入框的狀態(tài)發(fā)生相應(yīng)的改變，比如選了湖南就應(yīng)該列出湖南下面的市，或者選了某些條件之后，一些輸入框會關(guān)閉或轉(zhuǎn)為只讀狀態(tài)； 14．輸入類型；根據(jù)前面的欄位標(biāo)題判斷該輸入框應(yīng)該輸入哪些內(nèi)容算是合理的。例如，是否允許輸入數(shù)字或字母，不允許輸入其他字符等?！ ?；數(shù)據(jù)庫字段有長度定義，當(dāng)輸入過長時，提交數(shù)據(jù)是否會出錯?！ ?；當(dāng)處于某種狀態(tài)下，輸入框是否處于可寫或非可寫狀態(tài)。例如，系統(tǒng)自動給予的編號等欄位作為唯一標(biāo)識，當(dāng)再次處于編輯狀態(tài)下，輸入框欄位應(yīng)處于不可寫狀態(tài)，如果可寫對其編輯的話，可能會造成數(shù)據(jù)重復(fù)引起沖突等?！ ?7．如果是會進(jìn)行數(shù)據(jù)
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1