web安全性測試用例? http://www.cnblogs.com/qmfsun/p/3724406.html
建立整體的威脅模型，測試溢出漏洞厢呵、信息泄漏窝撵、錯誤處理、SQL注入襟铭、身份驗證和授權(quán)錯誤.
?
什么是XSS碌奉？ XSS的全稱是Cross Site Script（跨站點腳本） XSS的原理很簡單，即進行腳本注入寒砖，URL執(zhí)行時即把此腳本進行了執(zhí)行赐劣，一般都是JavaScript腳本，如alter(“abc”) 在URL中進行XSS注入哩都，也就是把URL中的參數(shù)改成JS腳本魁兼。
(4) URL參數(shù)中進行SQL 注入
什么是SQL注入？ SQL注入全稱是SQL Injection 漠嵌，當應用程序使用輸入內(nèi)容來構(gòu)造動態(tài)sql語句以訪問數(shù)據(jù)庫時咐汞，會發(fā)生sql注入攻擊，如查詢儒鹿、插入數(shù)據(jù)時化撕。
測試方法： URL中寫入SQL注入語句，看是否被執(zhí)行约炎，如：’or 1=1;shutdown
一般情況下要進行SQL注入攻擊植阴，需要對數(shù)據(jù)庫類型、表名圾浅、判斷邏輯掠手、查詢語句等比較清楚才能夠?qū)懗鲇行У腟QL注入語句。
(5) ...
7. 表單提交安全
(1) 表單中注入XSS腳本
測試方法：即在表單填寫框中直接注入JS腳本 如在表單中輸入XSS腳本贱傀，程序是不應該讓腳本執(zhí)行的惨撇。
(2) 表單中注入SQL 腳本
(3) ...
8. 上傳文件安全
分析：上傳文件最好要有格式的限制；上傳文件還要有大小的限制府寒。
9. Email Header Injection(郵件標頭注入)
Email Header Injection：如果表單用于發(fā)送email, 表單中可能包括“subject”輸入項（郵件標題）魁衙， 我們要驗證subject中應能escape掉“\n”標識报腔。
因為“\n”是新行，如果在subject中輸入“hello\ncc:spamvictim@example.com”剖淀，可能會形成以下
Subject: hello
cc: spamvictim@example.com
如果允許用戶使用這樣的subject纯蛾，那他可能會給利用這個缺陷通過我們的平臺給其它用 戶發(fā)送垃圾郵件。
10. 不恰當?shù)漠惓Ｌ幚?/p>
分析：程序在拋出異常的時候給出了比較詳細的內(nèi)部錯誤信息纵隔，暴露了不應該顯示的執(zhí)行細節(jié)翻诉，網(wǎng)站存在潛在漏洞；
11. ...
