安全性测试Checklist

1.检查SQL注入攻击
2.安全页面应该使用HTTPS协议
3.崩溃页面中不应泄漏应用程序或服务器信息，只有错误页面才显示这些
4.转义特殊字符的输入
5.错误消息不应该透露任何敏感信息
6.所有凭证都应该通过一个加密传输通道
7.测试密码安全性和密码强制策略
8.检查应用程序的注销功能
9.检查暴力攻击
10.Cookie信息只能以加密的格式存储
11.检查会话cookie持续时间和会话超时或注销后登录会话终止情况
12.会话标记应该通过安全通道传送
13.密码不应该存储在cookie中
14.对阻断服务攻击进行测试
15.检测内存泄漏
16.通过在浏览器地址栏中手动更改变量值访问未经授权的应用程序
17.验证对文件扩展名的处理方式以使得.exe文件不能上传到服务器或在服务器上执行
18.如密码和信用卡信息等敏感领域不应该启用自动完成
19.对文件上传功能应使用文件类型限制和反病毒扫描上传的文件
20.检查目录是否可用
21.在输入密码和其他敏感字段时应该被伪装起来
22.检查忘记密码是否采用了密码保护功能，如：临时密码在指定的时间段后过期，更改密码或获取新密码有安全问题提问等
23.检查验证码功能
24.检查重要事件是否被记录在日志文件中
25.检查是否正确实现访问权限
26. 不登录系统，直接输入登录后的页面的URL是否可以访问；
27. 不登录系统，直接输入下载文件的URL是否可以下载文件；
如输入：http://url/download?name=file是否可以下载文件file
28. 退出登录后，后退按钮能否访问之前的页面；
29. ID/密码验证方式中能否使用简单密码；
如密码标准为6位以上，字母和数字的组合，不包含ID，连接的字母或数字不能超过n位
30. ID/密码验证方式中，同一个帐号在不同的机器上不同时登录
31. ID/密码验证方式中，连续数次输入错误密码后该帐户是否被锁定
32. 重要信息（如密码，身份证，信用卡号等）在输入或者查询时是否明文显示；
在浏览器地址栏中输入命令javascript:alert(doucument.cookie)时是否有重要信息；
在html源码中能否看到重要信息；
33. 手动更改URL中的参数值能否访问没有权限访问的页面。
如普通用户对应的URL中的参数为l＝e，高级用户对应的URL中的参数为l＝s，以普通用户的身份登录系统后将URL中的参数e改为s来访问没有权限访问的页面
34. URL里不可修改的参数是否可以被修改；
35. 上传与服务器端语言（jsp，asp，php）一样扩展名的文件或exe等可执行文件后，确认在服务器端是否可直接运行
36. 注册用户时是否可以以‘--’or1＝1—等做为用户名
37. 传送给服务器的参数（如查询关键字，URL中的参数等）中包含特殊字符（‘.’and1＝1--.‘and1＝0--.’.‘or 1＝0--）时是否可以正常处理
38. 执行新增操作时，在所有的输入框中输入脚本标签（<script>alert(“”)</script>）后能否保存；
39. 新增或修改重要信息（密码，身份证号码，信用卡号等）时是否有自动完成功能
（在form标签中使用autocomplete＝0来关闭自动完成功能）
40. 在URL中输入下面的地址是否可以下载
http://url/download.jsp?file=c:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/password
41. 是否对session的有效期进行处理
42. 错误信息中是否含有SQL语句，SQL错误信息以及web服务器的绝对路径的等