cookies测试

上一篇 / 下一篇  2012-09-07 13:48:12

cookies安全测试
1. 判断测试的web系统使用了cookie
可以找出系统的设计文档、共鞥规格说明书,或者直接问开发人员。除此还可以:
(1)找出电脑存储的cookie的目录
不同的浏览器吧cookie数据存储在不同的目录,IE一般存在C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files文件下。
(2)删除所有cookie
可通过存储cookie文件的目录进行删除,也可直接在IE里删除
(3)设置IE,当使用到cookie时自动提示
Internet选项--隐私--高级--勾选替换自动cookie处理----第一方和第三方处都勾选提示,确定。这样在操作web系统时使用到cookie就会自动弹出如图1提示框,谈后点击详细信息,就会看到如图2提示框。此提示框报刊cookie的详细信息,cookie的名称、来源、路径、数据、截止期限等。
2.cookie测试方法----屏蔽cookie
检测当cookie被屏蔽时web系统会出现什么问题。首先关闭所有浏览器实例,删除所有cookie。然后设置IE屏蔽cookie:隐私--默认值--如图3,设置为阻止所有cookie。然后运行web系统的所有主要功能,很多时候会出现功能不能正常运行的情况。如果用户必须激活cookie使用设置才能正常运行web系统的话,则要求web服务器能正确识别出客户端的cookie设置情况。
3.cookie测试方法--有选择性地拒绝cookie
如果某些cookie被接受,某些被拒绝,web系统会发生什么事情?
首先删除所偶cookie,然后设置IE下的cookie选项为提示状态,然后运行web系统的所有主要功能,在弹出的cookie提示中,接受某些cookie,拒绝某些cookie,检查web系统的工作情况。有可能web系统会因此而出现错误、崩溃、数据错乱或其他不正常的行为。
4. cookie测试方法--篡改cookie
如果某些存储下来的cookie被篡改了,或者被删除了,web系统会怎样?如果web系统不能检测到cookie数据被篡改,则可能出现功能异常,或数据错乱等问题。
在运行web系统一段时间后,把某些cookie文件删除掉,然后继续使用web系统,看数据是否会丢失、错乱等。修改cookie值????
5. cookie测试方法---cookie加密测试
检查cookie文件内容,看是否有用户名、密码等敏感信息存储,并且被加密处理。某些类型的数据即使是加密了也绝不能存储在cookie文件中,如信用卡号。测试方法:手工打开所有cookie文件查看,也可利用cookie编辑工具来查看
6.cookie安全内容检查
a。cookie过期日期设置的合理性。检查是否把cookie的过期日期设置的过长。
b。HttpOnly属性的设置:把cookie的HttpOnly属性设置为True有助于缓解跨站点脚本威胁,防止cookie被窃取。
c。Secure属性的设置:把cookie的Secure属性设置为True,在传输cookie时使用SSL连接,能保护数据在传输过程中不被篡改
对于这些设置可以利用cookie Editor 来查看是否正确的被设置
 

1

1

2

2

3

3

TAG:

zhengyanhua的个人空间 引用 删除 zhengyanhua   /   2017-06-06 09:01:50
5
子巴的个人空间 引用 删除 子巴   /   2015-07-07 14:09:28
5
引用 删除 观音仔仔   /   2014-05-22 11:24:19
5
 

评分:0

我来说两句

我的栏目

日历

« 2024-03-27  
     12
3456789
10111213141516
17181920212223
24252627282930
31      

数据统计

  • 访问量: 22481
  • 日志数: 44
  • 建立时间: 2012-02-16
  • 更新时间: 2015-06-04

RSS订阅

Open Toolbar