整理的安全测试资料(一)

上一篇 / 下一篇  2011-03-07 10:26:19 / 个人分类:安全测试

1)是否可以不登陆而直接浏览某个页面等。
      2)Web应用系统是否有超时的限制,也就是说,用户登陆后在一定时间内(例如15分钟)没有点击任何页面,是否需要重新登陆才能正常使用。
      3)为了保证Web应用系统的安全性,日志文件是至关重要的。需要测试相关信息是否写进了日志文件、是否可追踪,以防止被黑客截取。51Testing软件测试网)
      4)当使用了安全套接字时,还要测试加密是否正确,检查信息的完整性。
      5)服务器端的脚本常常构成安全漏洞,这些漏洞又常常被黑客利用。所以,还要测试没有经过授权,就不能在服务器端放置和编辑脚本的问题。
      6)有的在线登录系统会有“找回密码”,这样我们在测试是就一定要注意找回密码的条件(找回密码条件安全级应等同于或高于密码安全级)和此时的网络安全性。


----------------------------------------
1. 不登录系统,直接输入登录后的页面的url是否可以访问
  2. 不登录系统,直接输入下载文件的url是否可以下载,如输入http://url/download?name=file是否可以下载文件file

  3. 退出登录后按后退按钮能否访问之前的页面

  4. ID/密码验证方式中能否使用简单密码。如密码标准为6位以上,字母和数字混合,不能包含ID,连续的字母或数字不能超过n位

  5. 重要信息(如密码,身份证号码,信用卡号等)在输入或查询时是否用明文显示;在浏览器地址栏里输入命令javascrīpt:alert(doucument.cookie)时是否有重要信息;在html源码中能否看到重要信息

  6. 手动更改URL中的参数值能否访问没有权限访问的页面。如普通用户对应的url中的参数为l=e,高级用户对应的url中的参数为l=s,以普通用户的身份登录系统后将url中的参数e改为s来访问本没有权限访问的页面

  7. url里不可修改的参数是否可以被修改

  8. 上传与服务器端语言(jsp、asp、php)一样扩展名的文件或exe等可执行文件后,确认在服务器端是否可直接运行

  9. 注册用户时是否可以以'--,' or 1=1 --等做为用户名

  10. 传送给服务器的参数(如查询关键字、url中的参数等)中包含特殊字符(','and 1=1 --,' and 1=0 --,'or 1=0 --)时是否可以正常处理

  11. 执行新增操作时,在所有的输入框中输入脚本标签(<scrīpt>alert("")</scrīpt>)后能否保存

  12. 在url中输入下面的地址是否可以下载:http://url/download.jsp?file=C:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/passwd

  13. 是否对session的有效期进行处理

  14. 错误信息中是否含有sql语句、sql错误信息以及web服务器的绝对路径等

  15. ID/密码验证方式中,同一个账号在不同的机器上不能同时登录

  16. ID/密码验证方式中,连续数次输入错误密码后该账户是否被锁定

  17. 新增或修改重要信息(密码、身份证号码、信用卡号等)时是否有自动完成功能(在form标签中使用autocomplete=off来关闭自动完成功能


TAG:

 

评分:0

我来说两句

日历

« 2024-03-29  
     12
3456789
10111213141516
17181920212223
24252627282930
31      

数据统计

  • 访问量: 32676
  • 日志数: 70
  • 文件数: 1
  • 建立时间: 2007-10-10
  • 更新时间: 2012-10-30

RSS订阅

Open Toolbar