Web_安全测试培训.pptxVIP

Web 安全测试 Himan About Me ID: Himan Name: Lee Xue Qing Company: 360 Responsibility：web security Mail: winner__1@ News News 小叮当 信息安全的现状 ? 信息安全环境越来越复杂 ? 黑客攻击越来越容易 ? 漏洞利用速度越来越快 ? 地下黑色产业链越来越庞大 地下黑客产业链 Web安全测试的意义 1、增强网站的健壮性 2、预防非法用户的攻击 3、保护使用者的安全 4、使非法侵入的代价超过被保护信息的价值 9 Web安全测试的方法 ? ? ? ? ? ? ? ? ? ? SQL 注入 跨站脚本（XSS） 失效的身份认证和会话管理 不安全的直接对象引用 跨站请求伪造（CSRF） 安全配置错误（新） 不安全的加密存储 没有限制URL访问 传输层保护不足 未验证的重定向和转发（新） Web安全测试的方法 ? ? ? ? ? ? 地址栏关键字段加密 网站地址暴库 无过滤的上传功能 登录信息提示 提交请求防重入 网页脚本错误 SQL 注入 Web应用程序执行来自外部包括数据库在内 的恶意指令，SQL Injection与Command Injection 等攻击包括在内。如果没有阻止带有语法 含义的输入内容，有可能导致对数据库信 息的非法访问，在Web表单中输入的内容应 该保持简单，并且不应包含可被执行的代 码。 SQL 注入 测试对象： ? 可以进行传参的URL /news_detail_cn.asp?id=81 and 1=2 /forum.php?archiver=1 XSS跨站攻击 Web应用程序直接将来自用户的执行请求送 回浏览器执行，使得攻击者可截取用户的 Cookie或Session数据而能假冒直接登入为合法 使用者。 XSS跨站攻击 测试对象： ? 可以进行传参的URL ? 网页中可进行输入的表单 /search.php?key=scriptalert(xss)/script /search.php?key=%3cscript%3ealert(xss)%3c %2fscript%3e 注：IE6 浏览器对跨站拦截不彻底！ 失效的身份认证和会话管理 只对首次传送的Cookie加以验证，程序没有 持续对Cookie中内含信息验证比对，攻击者 便可修改Cookie中的重要信息，以提升权限 进行网站数据存取，或是冒用他人账号取 得个人私密资料。 失效的身份认证和会话管理 测试对象： ? 可以进行传参的URL ? 提交请求页面 ? 登录后的cookie /user/home.action?sid=a04d85503e040cbc7e2fe048ff7104ce 不安全的直接对象引用 在具导出/下载功能的页面参数中修改内 容，WEB服务器便会导出/下载程序源代码 或者指定文件。 不安全的直接对象引用 测试对象： URL中有用户参数的地址 可以进行下载操作的地址 /FileDown_Show.aspx?did=1586 /default.aspx?content=/../../../../../../../../boot.ini%00.htm 跨站伪造请求 攻击者通过调用第三方网站的恶意脚本来 伪造请求，在用户不知情时攻击者强行提 交构造的具有“操作行为”的数据包 跨站伪造请求 测试对象： ? 网页中可进行输入的 表单 ? 网页中地址栏进行传 参的地址 安全配置错误 这些漏洞会导致系统完全被攻破。错误安 全配置可以发生在一个应用程序堆栈的任 何层面，包括平台、Web服务器、应用服务 器、框架和自定义代码。 安全配置错误 测试对象： 多级目录地址 网站报错的页面 http://w3.sapir.ac.il/pm/to_miriam/IMG_8522.jpg /collegial/userlogin/user_admin_login.aspx 所有的错误都只显示友好信息，不显示任何与实 际错误相关的信息 不安全的加密存储 常见的问题是不安全的密钥生成和储存、 不轮换密钥，和使用弱算法。使用弱的或 者不带salt 的哈希算法来保护密码也很普遍。 外部攻击者因访问的局限性很难探测这种 漏洞。他们通常必须首先破解其他东西以 获得需要的访问。 不安全的加密存储 测试对象： 敏感字段的数据库存储 身份证、密码、信用卡、个人信息在数据库中存储 需要加密存放 没有限制URL访问 系统已经对URL的访问做了限制，但这种 限制却实际并没有生效。攻击者能够很容 易的就伪造请求直接访问未被授权的页面。 没有限制URL访问 测试对象： 需要身份验证的页面 /ExStepTwo/StepTw