Web 安全测试培训.pdf

Web 安全测试 Web 安全测试 WWeebb 安安全全测测试试 Himan Himan HHiimmaann About Me About Me AAbboouutt MMee ID: Himan ID: Himan IIDD:: HHiimmaann Name: Lee Xue Qing Name: Lee Xue Qing NNaammee:: LLeeee XXuuee QQiinngg Company: 360 Company: 360 CCoommppaannyy:: 336600bbuuyy..ccoomm Responsibility：web security Responsibility：web security RReessppoonnssiibbiilliittyy：：wweebb sseeccuurriittyy Mail: winner__1@ Mail: winner__1@ MMaaiill:: wwiinnnneerr____11@@ssoohhuu..ccoomm News News NNeewwss News News NNeewwss 小叮当 小叮当 小小叮叮当当 信息安全的现状 • 信息安全环境越来越复杂 • 黑客攻击越来越容易 • 漏洞利用速度越来越快 • 地下黑色产业链越来越庞大 地下黑客产业链 地下黑客产业链 Web安全测试的意义 1、增强网站的健壮性 2、预防非法用户的攻击 3、保护使用者的安全 4、使非法侵入的代价超过被保护信息的价值 Web安全测试的方法 • SQL 注入 • 跨站脚本（XSS） • 失效的身份认证和会话管理 • 不安全的直接对象引用 • 跨站请求伪造（CSRF） • 安全配置错误（新） • 不安全的加密存储 • 没有限制URL访问 • 传输层保护不足 • 未验证的重定向和转发（新） 9 Web安全测试的方法 • 地址栏关键字段加密 • 网站地址暴库 • 无过滤的上传功能 • 登录信息提示 • 提交请求防重入 • 网页脚本错误 SQL 注入 Web应用程序执行来自外部包括数据库在内 的恶意指令，SQL Injection与Command Injection 等攻击包括在内。如果没有阻止带有语法 含义的输入内容，有可能导致对数据库信 息的非法访问，在Web表单中输入的内容应 该保持简单，并且不应包含可被执行的代 码。 SQL 注入 测试对象： • 可以进行传参的URL /news_detail_cn.asp?id=81 and 1=2 /forum.php?archiver=1 XSS跨站攻击 Web应用程序直接将来自用户的执行请求送 回浏览器执行，使得攻击者可截取用户的 Cookie或Session数据而能假冒直接登入为合法 使用者。 XSS跨站攻击 测试对象： • 可以进行传参的URL • 网页中可进行输入的表单 /search.php?key=scriptalert(xss)/script /search.php?key=%3cscript%3ealert(xss)%3c %2fscript%3e 注：IE6 浏览器对跨站拦截不彻底！ 失效的身份认证和会话管理 只对首次传送的Cookie加以验证，程序没有 持续对Cookie中内含信息验证比对，攻击者 便可修改Cookie中的重要信息，以提升权限 进行网站数据存取，或是冒用他人账号取 得个人私密资料。 失效的身份认证和会话管理 测试对象： • 可以进行传参的URL • 提交请求页面 • 登录后的cookie /use