[計(jì)算機(jī)]如何進(jìn)行web安全性測(cè)試(參考版)
2024-08-28 04:55本頁(yè)面
【正文】 測(cè)試人員在進(jìn)行需求檢查時(shí)，應(yīng)該對(duì)出錯(cuò)信息 進(jìn)行詳細(xì)查，比如是否給出了出錯(cuò)信息，是否給出了正確的出錯(cuò)信息。 （1）如何進(jìn)行測(cè)試？ 進(jìn) 行嚴(yán)格的輸入驗(yàn)證，控制用戶輸入非法路徑 （2）如何預(yù)防目錄遍歷？ （1）如何進(jìn)行目錄遍歷測(cè)試？ Traversal(目錄遍歷) ![if !supportLists]![endif]如果允許用戶使用這樣的subject，那他可能會(huì)給利用這個(gè)缺陷通過(guò)我們的平臺(tái)給其它用 戶發(fā)送垃圾郵件。 Header Injection(郵件標(biāo)頭注入) 請(qǐng)參見(jiàn) 關(guān)于這個(gè)主題本人也正在研究，目前主要通過(guò)安全性測(cè)試工具來(lái)進(jìn)行檢查。 :(跨站點(diǎn)偽造請(qǐng)求) 從測(cè)試人員的角度來(lái)講,要從需求檢查和執(zhí)行測(cè)試過(guò)程兩個(gè)階段來(lái)完成XSS檢查: 在 服務(wù)端正式處理之前提交數(shù)據(jù)的合法性(合法性檢查主要包括三項(xiàng):數(shù)據(jù)類(lèi)型,數(shù)據(jù)長(zhǎng)度,敏感字符的校驗(yàn))進(jìn)行檢查等。 從應(yīng)用程序的角度來(lái)講,要進(jìn)行以下幾項(xiàng)預(yù)防: 試想如果我們注入的不是以上這個(gè)簡(jiǎn)單的測(cè)試代碼，而是一段經(jīng)常精心設(shè)計(jì)的惡意腳本，當(dāng)用戶瀏覽此帖時(shí)，cookie信息就可能成功的被 攻擊者獲取。 最后,當(dāng)用戶瀏覽 時(shí)便會(huì)彈出一個(gè)警告框，內(nèi)容顯示的是瀏覽者當(dāng)前的cookie串,這就說(shuō)明該網(wǎng)站存在XSS漏洞。/scrīptPT SRC=/scrīptA HREF=://link/A39。39。=/scrīpt39。scrīpt SRC39。XSS39。)。scrīptfunction a(){alert(39。)。XML SRC=javascrīpt:alert(39。)。d=alert(39。b=URL。XSS39。)。))}/STYLEBASE HREF=javascrīpt:alert(39。}/STYLEA CLASS=XSS/ASTYLE type=text/cssBODY{background:url(javascrīpt:alert(39。XSS39。)。STYLE TYPE=text/javascrīptalert(39。/STYLEIMG STYLE=39。STYLEim\port39。XSS39。)。))DIV STYLE=behaviour: url(39。)DIV STYLE=backgroundimage: url(javascrīpt:alert(39。)/FRAME/FRAMESETTABLE BACKGROUND=javascrīpt:alert(39。)/IFRAMEFRAMESETFRAME SRC=javascrīpt:alert(39。IFRAME SRC=javascrīpt:alert(39。XSS39。IMG SRC=mocha:[code]IMG SRC=livescrīpt:[code]META HTTPEQUIV=refresh CONTENT=0。IMG SRC=39。XSS39。XSS39。br size=amp。XSS39。XSS39。XSS39。XSS39。XSS39。)。 outIMG SRC= javascrīpt:alert(39。IMG SRC=java\0scrīpt:alert(\XSS\)。XSS39。)。IMG SRC=jav ascrīpt:alert(39。XSS39。x27amp。x
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1