web測(cè)試安全篇ppt課件-資料下載頁(yè)
2025-01-11 20:07本頁(yè)面
【正文】 制web服務(wù)器。 ? 未限制擴(kuò)展名 ? 未檢查文件內(nèi)容 ? 病毒文件 Page 24 ? Web應(yīng)用程序在處理用戶錯(cuò)誤請(qǐng)求時(shí)，程序在拋出異常的時(shí)候給出了比較詳細(xì)的內(nèi)部錯(cuò)誤信息，而暴露了不應(yīng)該顯示的執(zhí)行細(xì)節(jié)，如文件路徑、數(shù)據(jù)庫(kù)信息、中間件信息、IP地址等 Page 25 如何進(jìn)行 Web安全測(cè)試 ?手動(dòng)測(cè)試 ?自動(dòng)測(cè)試 ?混合測(cè)試 Page 26 ? 手動(dòng)（人工）測(cè)試就是在系統(tǒng)測(cè)試過程中對(duì)系統(tǒng)的安全漏洞方面進(jìn)行人為針對(duì)性的測(cè)試。 ? 主要從安全體系架構(gòu)、應(yīng)用與傳輸、其他配置類安全（中間件等）等幾個(gè)方面進(jìn)行安全測(cè)試。 Page 27 安全體系架構(gòu) ? 敏感數(shù)據(jù) 在傳輸過程中和存儲(chǔ)中是否加密 ? 會(huì)話管理 會(huì)話是否有超時(shí)、數(shù)據(jù)加密等設(shè)置 ? 配置管理 配置信息的管理（配置文件的權(quán)限等） ? 參數(shù)操作 是否使用參數(shù)操作，如 sql語句中 Page 28 安全體系架構(gòu) ? 輸入驗(yàn)證 輸入數(shù)據(jù)是否經(jīng)過三重驗(yàn)證（客戶端、服務(wù)端、數(shù)據(jù)庫(kù)） ? 身份驗(yàn)證 系統(tǒng)是否有用戶身份驗(yàn)證 ? 授權(quán)管理 是否使用權(quán)限控制管理（水平和垂直、 URL級(jí)別和菜單級(jí)別） Page 29 安全體系架構(gòu) ? 異常管理 系統(tǒng)在拋出異常的時(shí)候是否泄漏一些敏感的信息 ? 審核和日志記錄 是否有審計(jì)和日志記錄 ? 加密 敏感數(shù)據(jù)或者重要數(shù)據(jù)傳輸過程中和存儲(chǔ)中是否加密 Page 30 應(yīng)用與傳輸安全 ? 注冊(cè)與登錄、退出 用戶在注冊(cè)和登錄時(shí)是否有驗(yàn)證碼功能、登錄是否有次數(shù)限制、退出時(shí)是否 session是否也斷開。 ? 在線超時(shí) 用戶在線是否有超時(shí)限制功能 ? 操作留痕 用戶執(zhí)行重要操作是否有記錄或者“確定”提示。 ? 服務(wù)端的腳本漏洞檢測(cè) ? 防火墻測(cè)試 ? HTTPS和 SSL測(cè)試 ? 備份與恢復(fù)
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1