- 博客(11)
- 收藏
- 关注
RSS订阅原创 Jmeter-登录接口测试
之前使用python模拟登录过设备也正常获取到了cookie，这次使用jmeter来实现登录，熟悉一下jmeter的各个组件这次登录用到一些组件，参数的定义，调用外部python脚本，正则表达式提取信息，debug组件调试正则表达式，循环语句，和if逻辑组件判断登录是否成功给我的感觉像是有一半写代码的感觉，只是这种是图形界面上进行的整体的脚本如下：首先创建一个用户变量定义组件，用来存储相关变化的信息，譬如账号密码，ip等等再创建一个循环控制器，看需要执行多少次，变量的使用方式是${变
2020-09-22 19:09:04
1069
原创 越权访问的相关问题
什么身份那就做什么身份的事情身份信息存储在cookie中，拿到这个A用户的cookie去做B用户才能做的事情，如果成功了，那么就是越权成功了最近在测试某公司的设备时，发现其实很多B用户的url在A用户中只是前端限制了，后端并没有限制或者拿到A用户的cookie通过发包做了B用户才有权限的事情越权访问分为两种，一个是垂直越权，是普通用户做了超级用户才能做的事情，一个是水平越权，都是同一等级的用户，A用户设置了B用户的东西，或者查询了B用户的信息1.log用户修改sys用户才有权限设置的选项首先
2020-09-19 17:00:50
1299
原创 抓取手机的数据包
在PC端抓http数据包很方便，那么如何在来抓取手机上的数据包呢？可以使用Fiddler或者是Brupsuite，设置的方法基本上类似，都是通过手机接入和PC同一个局域网，然后手机上配置代理服务器到PC的地址和抓包程序的端口首先开启Brupsuite，然后配置一个监听端口，配置的地址指定为本机能够上网的局域网ip地址看是否需要拦截服务器的响应，来配置响应拦截的开关手机修改wifi的代理服务器，配置为192.168.11.104和8888，为PC的地址和端口此时手机打开一个http的
2020-09-19 16:48:45
1542
原创 找寻一些信息-Xpath
对于浏览器中的某些信息我需要提取的时候，有几种方法，使用Xpath来定位这些元素的位置然后提取，或者是用正则表达式来匹配，不知道可不可以使用css的来定位元素获取相关信息，我觉得应该也是可以的在写UI自动化的时候，selenium中操作元素的时候最靠谱的定位方式应该就是Xpath和css的方式了，xpath就像是地址的定位，css就像是样子的定位。在写爬虫的时候虽然你可以使用正则来匹配你需要的信息，但是用Xpath会更方便,至少在我看来正则比xpath学起来更头疼吧。可能你会觉得爬虫不是有美丽汤B.
2020-09-19 16:35:03
175
原创 自动化测试之邮件发送
邮件发送每次自动化测试需要一定的时间，时间却又不固定，所以不知道什么时候完成了，什么时候还没跑完，那么就需要一个东西来提醒我们已经运行完了，快点去看测试结果，至于提醒的方式是怎么样的，可以根据自己的情况来看，发邮件呢还是发短信呢还是call电话呢，还是微信或者钉钉呢，都可以，不过普遍是邮件吧，邮件还可以带附件信息，所以更方便，承载的信息更多其实可以再申请一个公司的AutoTest的邮箱号，但是难得麻烦了，所以用的另外一个qq号的邮箱来做为发送邮箱号，为了不显示出了我的qq号码，所以在qq邮箱中设
2020-09-19 16:22:41
1632
1
原创 自动化测试工程
我想一个基本的自动化测试工程应该需要包含这些吧，当然不同的项目和不同的人最终出来的东西肯定有差别，我觉得应该大同小异吧1.测试用例的组织逻辑，其中包括用例组织的存储方式，用例的测试开关，用例的描述，用例的不同分类管理等等，至于使用数据库来存储还是表格还是其他方式都可以，如果用数据库的方式，我能想到的是自己设计不同的数据表来存储用例的组织，表格我举得可能更方便点，不然测试起来它哪知道要运行哪些东西呢？2.测试报告和日志的输出，一个自动化测试完成后，当然需要一个汇总的东西查看了，至于它是一个文本文件呢，还
2020-09-19 16:05:36
431
原创 Re(正则表达式) 检索替换那些符合的文本
正则表达式在太多的地方用到了，对于信息的筛选re称第一没人称第二了吧，各种命令和几乎所有的语言都支持，linux的grep也支持，python默认也带有re的库在写爬虫的时候需要匹配所有的url和相关信息等等实例1:一端ipconfig输出的信息在这段信息中我想获取其中的所有ipv4地址，首先分析我们需要的ipv4地址信息1.它是由数字组成的2.其中包含三个小数点3.格式为x.x.x.x x这四段信息可能是1到3位数字，个，十，百4.当百位数1-2，十位数为0-9，个位数为0-9.
2020-09-19 15:54:48
526
原创 CSRF-跨站请求伪造
CSRF-跨站请求伪造旧版本设备被测试出来的csrf漏洞，跨站请求伪造，一直没明白什么意思，趁着版本还没有修复，正好可以将这个问题复现一下，清楚下整个过程和防护的手段，但是通过什么样的方式去达到实际攻击的效果还是没能想通，达到这样的攻击的前提是获取到有效的cookie或者是请求的发送是在用户的同一个浏览器，那么只要页面的关闭和账号的退出未导致cookie失效，那么也能攻击实际上是利用被攻击人有效的cookie，进行请求的伪造提交数据，那么得不到用户的cookie可以想办法他使用的浏览器发送请求，那
2020-09-19 15:24:56
942
原创 SQL注入-不要相信用户所输入的一切信息
SQL注入式是后台通常没有对特殊字符和某些信息没有做过滤和特殊处理的情况，将用户提交的数据直接拼接成sql语句直接执行所导致的问题按照注入点的类型来分存在字符型的注入和整型的注入按照提交方式分get，post，cookie，header注入按照执行的效果来分有基于布尔的盲注，基于时间的盲注，基于报错注入，联合查询注入，堆查询注入不大明白的是堆查询和时间的效果，布尔则用查询的真假来判断，报错则为页面的报错状态判断，联合查询则为union语句来判断SQL注入的问题所在则为相信了用户所提交的信息且
2020-09-19 15:00:46
365
原创 SQL注入-整型注入实例
发现存在SQL注入的站点有很多都是PHP，估计是PHP的占有率太大了，而且建站方便效率高，这就和ios和安卓一样，始终认为安卓安全性差，win和linux，mac一样，始终认为win的安全性差，毕竟占有率摆在这里通过谷歌来搜索一些存在注入漏洞的网站，用谷歌hack语法来搜索：公司inurl:".php?id="结尾为公司，url中带有.php?id=的网页 那么我们来搜索下，我们就选择第一个先加一个’测试一下，网页直接报错，从报错信息来看，是一个linux服务器，mysql的数据库使用
2020-09-19 13:59:14
1122
原创 SQL注入-布尔型盲注实例
SQL注入-布尔盲注实例布尔型盲注的手工成本很大，非常花费时间，建议写脚本来运行，整个过程属于猜解，判断数据库的名称长度，然后猜解第一位字符，第二位… 表名和字段和内容也都是相同的方式进行猜解，sqlmap工具的盲注实际上也是这种原理，只不过它是一个现成的工具了首先需要了解到数据库的几个函数Length()：统计字符串的长度mid(database(),1,1)字符串截取，从第一个字符开始截取，截取一个ord() 字符转化成十进制数布尔注入是根据页面的正确和不正确状态来判断猜解是真是假
2020-09-19 13:23:54
493
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人