WEB攻击手段及测试方法介绍（常用版）3

6、Web会话状态管理攻击
攻击方式：
    主要通过劫持一个用户与web的交互过程，得到与该用户同样的权限。此类攻击的主要过程如下：找到状态载体：在攻击的过程中，找到跟踪源，比如：username、user ID、
user roles等信息。
重置状态信息：拿到某些状态信息，并将它重新提交给应用程序。
修改状态信息：改变自己的信息获取到更高的优先级
破译状态信息：分析状态信息的过程。
测试方法：
    分析该产品的会话管理策略和实现方式是否有可能存在漏洞
    针对该产品的会话管理策略设计测试项进行测试
可使用网络抓包工具分析会话信息
                

7、其他关注项
(1)用户标识、角色标识及其权限检查和测试。
(2)数据安全保护
   敏感数据存储、传输方式检查和测试：
      敏感数据可能包括但不限于：口令、密钥、证书、License、帐户信息、资金、隐私数据（如短消息的内容）
   文件及目录权限检查
(3)隐私保护－匿名、假名等场合检查
(4)随机数生成方式检查：如用户ID的生成、密钥的生成等
(5)加密策略检查：如加密算法的使用、密钥的长度等
(6)安全审计信息检查和测试
需要记录安全日志的地方是否都完整记录了安全日志
安全日志信息记录对系统运行性能的影响
(7)运行安全保护检查
如CPU、内存、存储空间等占用率检查，以确保系统处于一个安全运行环境中
(8)其它
验证码生成方式及有效性检查


8、安全性测试工具应用
安全性测试工具主要能发现的安全性漏洞：
发现系统补丁不全导致的安全性漏洞：包括操作系统、数据库、中间件等
权限漏洞（含暴力破解等）
会话状态监控
SQL注入漏洞
跨站式脚本攻击

目前业界比较流行的安全性测试工具有
watchFire appscan：功能比较全面，使用方式较简单
webInspect：功能比较全面，使用方式较复杂  http://www.spidynamics.com
NBSI：功能相对较弱（主要是SQL注入），使用方式比较简单
webScarab  HW用这玩意     
Appscan    http://www.sanctuminc.com
Cerberus Internet Scan    http://www.cerberus-infosec.co.uk
Brutus    http://www.antifork.org/hoobie.net
John    http://www.nmrc.org
Site Check    http://www.rational.com
Cgicheck    http://www.packetstorm.deceptiocons.org
Webscan    http://www.atstake.com
MD5sum    http://www.reghat.com