關于 安全測試

文/艾米

什么是安全測試

安全測試(security testing)是測試系統(tǒng)在沒有授權的內部或者外部用戶對系統(tǒng)進行攻擊或者惡意破壞時如何進行處理,是否能夠保證數(shù)據和頁面的安全。

Web攻擊主要類型

1. 跨站腳本(XSS)攻擊

2. SQL注入

3. XML注入

4. 目錄遍歷

5. 上傳下載漏洞攻擊

6. 信息泄露

7. 訪問控制錯誤

Web攻擊主要類型 - 跨站腳本(XSS)攻擊

XSS又叫CCC(Cross Site Script),跨站腳本攻擊疚漆。它指的惡意攻擊者往Web頁面里插入惡意HTML代碼帐要,當瀏覽該頁之時,嵌入其中WEB里的html代碼會被執(zhí)行乒省,從而達到惡意用戶的特殊目的蘑拯。

例:盜取Cookie钝满、釣魚

Web攻擊主要類型 -?SQL注入

將SQL命令人為的輸入到URL、表格域申窘、或者其他動態(tài)生成的SQL查詢語句的輸入參數(shù)中弯蚜,完成SQL攻擊。

例:查詢數(shù)據庫中的敏感內容偶洋、繞過認證熟吏、添加 /刪除/ 修改數(shù)據

Web攻擊主要類型 -XML 注入

和SQL注入原理一樣,XML時存儲數(shù)據的地方玄窝,如果在查詢或修改時牵寺,在沒有做轉義,直接輸入或輸出數(shù)據恩脂,都將導致XML注入漏洞帽氓。攻擊者可以修改XML數(shù)據格式,增加新的XML節(jié)點俩块,對數(shù)據處理流程產生影響黎休。

Web攻擊主要類型 -目錄遍歷

目錄遍歷攻擊是指:惡意用戶找到受限文件的位置并且瀏覽或者執(zhí)行它們。攻擊者瀏覽受限文件玉凯,比如讀取配置文件势腮、密碼文件等,就會破話隱私漫仆,甚至引發(fā)安全問題捎拯,如執(zhí)行了受限文件,攻擊者就可以根據自己的意愿來控制和修改WEB站點盲厌。

例如:

http://***.*****.**/order/zheYongShenQingInfo.do?discountId=364

我們可以嘗試進行攻擊:

http://***.*****.**/order/zheYongShenQingInfo.do?discountId=365

或者嘗試訪問應用服務器的系統(tǒng)目錄:

http://***.*****.**/order/zheYongShenQingInfo.do?discountId=../../../../etc/password

Web攻擊主要類型 -文件上傳

WEB應用程序在處理用戶上傳的文件時署照,沒有判斷文件的擴展名是否在范圍內,或者沒有檢測文件內容的合法性吗浩,就把文件保存在服務器上建芙,甚至上傳腳本木馬到WEB服務器上,直接控制WEB服務器懂扼。

例:?未限制擴展名禁荸、未檢查文件內容、病毒文件

Web攻擊主要類型 -任意文件下載

1. 下載附件等功能

2. Apache 虛擬目錄指向

3. JAVA/PHP讀取文件

4. 下載數(shù)據庫配置文件等

5. 目錄瀏覽

Web攻擊主要類型 -消息泄露

WEB應用程序在處理用戶錯誤請求時,程序在拋出異常的時候給出了比較詳細的內部錯誤信息赶熟,而暴露了不應該顯示的執(zhí)行細節(jié)品嚣,如文件路徑、數(shù)據庫信息钧大、中間件信息、IP地址等罩旋。

例:用戶名輸錯時啊央,提示用戶名錯誤

WEB漏洞掃描工具

1. Web vulnerability scanner

2. WebScarab

最后編輯于
?著作權歸作者所有,轉載或內容合作請聯(lián)系作者
  • 序言:七十年代末,一起剝皮案震驚了整個濱河市涨醋,隨后出現(xiàn)的幾起案子瓜饥,更是在濱河造成了極大的恐慌,老刑警劉巖浴骂,帶你破解...
    沈念sama閱讀 206,482評論 6 481
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件乓土,死亡現(xiàn)場離奇詭異,居然都是意外死亡溯警,警方通過查閱死者的電腦和手機趣苏,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 88,377評論 2 382
  • 文/潘曉璐 我一進店門,熙熙樓的掌柜王于貴愁眉苦臉地迎上來梯轻,“玉大人食磕,你說我怎么就攤上這事≡簦” “怎么了彬伦?”我有些...
    開封第一講書人閱讀 152,762評論 0 342
  • 文/不壞的土叔 我叫張陵,是天一觀的道長伊诵。 經常有香客問我单绑,道長,這世上最難降的妖魔是什么曹宴? 我笑而不...
    開封第一講書人閱讀 55,273評論 1 279
  • 正文 為了忘掉前任搂橙,我火速辦了婚禮,結果婚禮上浙炼,老公的妹妹穿的比我還像新娘份氧。我一直安慰自己,他們只是感情好弯屈,可當我...
    茶點故事閱讀 64,289評論 5 373
  • 文/花漫 我一把揭開白布蜗帜。 她就那樣靜靜地躺著,像睡著了一般资厉。 火紅的嫁衣襯著肌膚如雪厅缺。 梳的紋絲不亂的頭發(fā)上,一...
    開封第一講書人閱讀 49,046評論 1 285
  • 那天,我揣著相機與錄音湘捎,去河邊找鬼诀豁。 笑死,一個胖子當著我的面吹牛窥妇,可吹牛的內容都是我干的舷胜。 我是一名探鬼主播,決...
    沈念sama閱讀 38,351評論 3 400
  • 文/蒼蘭香墨 我猛地睜開眼活翩,長吁一口氣:“原來是場噩夢啊……” “哼烹骨!你這毒婦竟也來了?” 一聲冷哼從身側響起材泄,我...
    開封第一講書人閱讀 36,988評論 0 259
  • 序言:老撾萬榮一對情侶失蹤沮焕,失蹤者是張志新(化名)和其女友劉穎,沒想到半個月后拉宗,有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體峦树,經...
    沈念sama閱讀 43,476評論 1 300
  • 正文 獨居荒郊野嶺守林人離奇死亡,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內容為張勛視角 年9月15日...
    茶點故事閱讀 35,948評論 2 324
  • 正文 我和宋清朗相戀三年旦事,在試婚紗的時候發(fā)現(xiàn)自己被綠了魁巩。 大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點故事閱讀 38,064評論 1 333
  • 序言:一個原本活蹦亂跳的男人離奇死亡姐浮,死狀恐怖歪赢,靈堂內的尸體忽然破棺而出,到底是詐尸還是另有隱情单料,我是刑警寧澤埋凯,帶...
    沈念sama閱讀 33,712評論 4 323
  • 正文 年R本政府宣布,位于F島的核電站扫尖,受9級特大地震影響白对,放射性物質發(fā)生泄漏。R本人自食惡果不足惜换怖,卻給世界環(huán)境...
    茶點故事閱讀 39,261評論 3 307
  • 文/蒙蒙 一甩恼、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧沉颂,春花似錦条摸、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 30,264評論 0 19
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽。三九已至彻坛,卻和暖如春顷啼,著一層夾襖步出監(jiān)牢的瞬間踏枣,已是汗流浹背。 一陣腳步聲響...
    開封第一講書人閱讀 31,486評論 1 262
  • 我被黑心中介騙來泰國打工钙蒙, 沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留茵瀑,地道東北人。 一個月前我還...
    沈念sama閱讀 45,511評論 2 354
  • 正文 我出身青樓躬厌,卻偏偏與公主長得像马昨,于是被迫代替她去往敵國和親。 傳聞我的和親對象是個殘疾皇子扛施,可洞房花燭夜當晚...
    茶點故事閱讀 42,802評論 2 345

推薦閱讀更多精彩內容