国产精品一二三区高潮视,精品国精品国产自在久国产不卡,国产成人拍精品视频午夜网站

文章插圖
前言
隨著人們對于軟件產(chǎn)品的要求越來越嚴(yán)格，信息一體化的背后更加深藏著各類安全隱患，因此安全測試成為軟件測試中非常重要的環(huán)節(jié) 。
安全測試基礎(chǔ)
01.
XSS攻擊
（1）簡介
XSS（Cross Site Scripting）跨站腳本攻擊，屬于Web攻擊的一種，攻擊者通過對網(wǎng)頁注入可執(zhí)行代碼（html或JS）成功被瀏覽器執(zhí)行，從而盜取用戶資料、利用用戶身份進(jìn)行某種動作或者對訪問者進(jìn)行病毒侵害的一種攻擊方式。
（2）XSS攻擊方式
反射型XSS：用戶訪問一個(gè)被攻擊者篡改后的鏈接時(shí)，被植入的腳本會被用戶瀏覽器執(zhí)行，也稱非持久型因?yàn)槭且淮涡?，僅對當(dāng)次的頁面訪問產(chǎn)生影響；
反射型XSS場景：帶有XSS腳本的鏈接轉(zhuǎn)成的短鏈；，網(wǎng)址跳轉(zhuǎn)；
存儲型XSS：包含XSS攻擊腳本的內(nèi)容會被存儲到服務(wù)器端，也稱持久型，用戶讀取到內(nèi)容時(shí)會自動執(zhí)行腳本；
存儲型XSS場景：其他用戶查看別人發(fā)布的留言、評論，管理員發(fā)布的公告，黑客發(fā)布的博客文章；反饋功能，投訴功能，聊天記錄功能。
（3）XSS攻擊原理
用戶傳入的數(shù)據(jù)被當(dāng)做是程序，所以會執(zhí)行程序。
01.
SQL注入
（1）簡介
SQL注入是比較常見的網(wǎng)絡(luò)攻擊方式之一，它不是利用操作系統(tǒng)的BUG來實(shí)現(xiàn)攻擊，而是針對現(xiàn)有應(yīng)用程序，將SQL語句注入到后臺數(shù)據(jù)庫，實(shí)現(xiàn)無賬號登錄，甚至篡改數(shù)據(jù)庫。
（2）SQL注入原理
找到SQL注入的位置，判斷出服務(wù)器類型和后臺數(shù)據(jù)庫類型，針對不同的服務(wù)器和數(shù)據(jù)庫特點(diǎn)進(jìn)行SQL注入攻擊。
03.
CSRF跨站請求偽造
（1）簡介
CSRF（Cross Site Request Forgy）是指攻擊者盜用受信任用戶的身份，并向第三方網(wǎng)站發(fā)送惡意請求，最后達(dá)到攻擊者所需要的操作行為，對于服務(wù)器來說這個(gè)請求是合法的。
（2）CSRF原理
站點(diǎn)B向站點(diǎn)A發(fā)送請求，請求帶站點(diǎn)A的cookies 。
安全測試類型
安全測試分類
1身份驗(yàn)證機(jī)制：只對首次傳遞的Cookie加以驗(yàn)證，程序沒有持續(xù)對Cookie中內(nèi)含信息驗(yàn)證比對，攻擊者可以修改Cookie中的重要信息以提升權(quán)限進(jìn)行網(wǎng)站數(shù)據(jù)存取或是冒用他人賬號取得個(gè)人私密資料（測試對象：可以進(jìn)行傳參的URL，提交請求頁面，登錄后的Cookie）。2會話管理劫持：檢測Web應(yīng)用程序會話機(jī)制是否存在安全隱患，能否被非法利用（會話劫持，偽裝成合法用戶）而影響Web應(yīng)用程序的安全3SQL注入：攻擊者發(fā)送的惡意數(shù)據(jù)可以欺騙解釋器,以執(zhí)行計(jì)劃外的命令或者在未被恰當(dāng)授權(quán)時(shí)訪問數(shù)據(jù) 。4XSS跨站腳本攻擊：惡意攻擊者往Web頁面里插入惡意html代碼，當(dāng)用戶瀏覽該頁之時(shí)，嵌入其中Web里面的html代碼會被執(zhí)行，從而達(dá)到惡意用戶的特殊目的。5CSRF跨站請求偽造：攻擊者通過調(diào)用第三方網(wǎng)站的惡意腳本來偽造請求，在用戶不知情的情況下，攻擊者強(qiáng)行遞交構(gòu)造的具有“操作行為”的數(shù)據(jù)包。（測試對象：網(wǎng)頁中可進(jìn)行輸入的表單）。6安全配置錯(cuò)誤：Config中的鏈接字符串以及用戶信息，郵件，數(shù)據(jù)存儲信息等都需要加以保護(hù)，如果沒有進(jìn)行保護(hù)，那么就是安全配置出現(xiàn)了問題。7加密存儲：未對需要保護(hù)的數(shù)據(jù)進(jìn)行加密或者加密算法太弱都是不安全的加密存儲。8URL訪問：攻擊者能夠很容易地就偽造請求直接訪問未被授權(quán)的頁面（測試對象：需要身份驗(yàn)證的頁面）。9敏感信息泄露：攻擊者可能會竊取或篡改這些弱保護(hù)的數(shù)據(jù) 。敏感數(shù)據(jù)值需額外的保護(hù),比如在存放或在傳輸過程中的加密,以及在與瀏覽器交換時(shí)進(jìn)行特殊的預(yù)防措施。10緩沖區(qū)溢出：當(dāng)計(jì)算機(jī)向緩沖區(qū)內(nèi)填充數(shù)據(jù)位數(shù)時(shí)超過了緩沖區(qū)本身的容量，溢出的數(shù)據(jù)覆蓋在合法數(shù)據(jù)上。11LDAP注入：許多應(yīng)用的安全性依賴于基于LDAP目錄的單點(diǎn)登錄環(huán)境。攻擊者可能直接訪問LDAP目錄樹下的數(shù)據(jù)庫，及重要信息。12篡改輸入：利用一些命令或者工具等篡改一些字段的值。安全測試方法

以上關(guān)于本文的內(nèi)容，僅作參考！溫馨提示：如遇健康、疾病相關(guān)的問題，請您及時(shí)就醫(yī)或請專業(yè)人士給予相關(guān)指導(dǎo)!

「愛刨根生活網(wǎng)」www.malaban59.cn小編還為您精選了以下內(nèi)容，希望對您有所幫助：

詳解web安全性測試方法 web安全性測試的項(xiàng)目有哪些