測試應(yīng)用程序的安全性-文庫吧資料
2025-01-24 08:23本頁面
【正文】 隱患、 FTP漏洞， Sendmail郵件服務(wù)軟件的漏洞等?？衫?Google 等工具搜索資源，研究系統(tǒng)漏洞。 ? 二、應(yīng)用服務(wù)器的安全性測試方法與技術(shù) （一）全面搜集與應(yīng)用服務(wù)器安全相關(guān)的各種信息，分析其可能出現(xiàn)的安全隱患應(yīng)用服務(wù)器被使用的企業(yè)單位基本信息、管理中薄弱環(huán)節(jié)、應(yīng)用服務(wù)器配置信息、系統(tǒng)可訪問的主機 IP 地址及對應(yīng)的主機名、服務(wù)器所在網(wǎng)絡(luò)的拓樸結(jié)構(gòu)等，這些信息可能成為被利用的安全隱患，有的可能在互聯(lián)網(wǎng)上搜索得到，要對其進行分析和安全隱患檢查。 ? 利用 password文件系統(tǒng)地猜測口令：加密文件（密碼強弱，文件存放是否安全） ? 分析協(xié)議和濾出口令：不能明文傳輸，密碼的強弱 ? 重放攻擊：加時間戳 ? 木馬監(jiān)視登錄 /口令：系統(tǒng)安全，一次性口令 ? 盜鏈： ? SQL注入漏洞 ? 異常輸入破壞： 課程概述 安全測試技術(shù)之七種武器 ? 一個完整的 WEB安全性測試可以從以下幾個方面入手： ? ? 網(wǎng)絡(luò)是否提供了安全的通信 ? 部署拓撲結(jié)構(gòu)是否包括內(nèi)部的防火墻 ? 部署拓撲結(jié)構(gòu)中是否包括遠程應(yīng)用程序服務(wù)器 ? 操作系統(tǒng)是否存在漏洞，例如 Unix上的緩沖區(qū)溢出漏洞、 Windows上的 RPC漏洞、緩沖區(qū)溢出漏洞、安全機制漏洞等； ? 2. 輸入驗證 ? 如何驗證輸入 ? 是否清楚入口點 ? 是否驗證 Web頁輸入 ? 是否對傳遞到組件或 Web服務(wù)的參數(shù)進行驗證 ? 是否驗證從數(shù)據(jù)庫中檢索的數(shù)據(jù) ? 是否依賴客戶端的驗證 ? 應(yīng)用程序是否易受 SQL注入攻擊 ? 應(yīng)用程序是否易受 XSS攻擊 ? 如何處理輸入 課程概述 ? ? 是否區(qū)分公共訪問和受限訪問 ? 如何驗證調(diào)用者身份 ? 如何驗證數(shù)據(jù)庫的身份 ? 如何向最終用戶授權(quán) ? 4. 敏感數(shù)據(jù) ? 是否存儲機密信息 ? 如何存儲敏感數(shù)據(jù) ? 是否在網(wǎng)絡(luò)中傳遞敏感數(shù)據(jù) ? 5. 加密 ? 為何使用特定的算法 ? 如何確保加密密鑰的安全性 ? ? 是否驗證所有的輸入?yún)?shù) ? 是否在參數(shù)過程中傳遞敏感數(shù)據(jù) ? 是否為了安全問題而使用 HTTP頭數(shù)據(jù) ? ? 是否明確了要審核的活動 ? 是否考慮如何流動原始調(diào)用這身份 課程概述 應(yīng)用服務(wù)器的安全性測試技術(shù) ? 一、應(yīng)用服務(wù)器的安全性測試內(nèi)容 基于應(yīng)用服務(wù)器的安全性測試內(nèi)容主要包括：驗證隱私系統(tǒng)是否受到保護、數(shù)據(jù)是否加密，檢測系
試題試卷相關(guān)推薦
鄂ICP備17016276號-1