aovenus的专栏

软件测试(功能、性能、安全测试)新时代;读书在于明理,做人在于诚信,生活在于体验与感悟.........

Web入侵安全测试与对策学习笔记之(三)——攻击客户机之绕过对输入选项的限制

客户机上的代码非常容易遭篡改,重要的任务应当在服务器上运行。 攻击4:绕过对输入选项的限制 如何使用这种攻击? 在提供了任何输入方式的情况下,就可以使用绕过对输入选项的限制攻击。在多数应用程序中,输入控件构成了其中的大部分内容,通常有复选框、单选按钮、下拉菜单等,当然也包括标准的文本输入框,...

2012-08-25 11:52:59

阅读数:1908

评论数:0

Web入侵安全测试与对策学习笔记之(二)——获取目标信息之其他人留下的漏洞—样例程序的缺陷

对于web应用编程中,有许多重用的代码或库文件,但是这些代码或库可能不是那么可靠,存在缺陷。 在默认安装web服务器时,一般都会包含样例程序和帮助脚本及文档,但由于历史原因,这种做法其实是应当避免的。 如何使用这种攻击? 安装web服务器时和开发过程的结尾。 安装web服务器和应用程序的运...

2012-08-25 11:41:23

阅读数:1208

评论数:0

Web入侵安全测试与对策学习笔记之(二)——获取目标信息之猜测文件与目录

默认情况下,web应用部署在默认路径下,如IIS默认在C:\Inetpub下,如果攻击者能够猜测到文件名和存放位置,就可以直接在浏览器的地址栏里输入绝对地址和文件名来访问这些文件。 如何使用这种攻击? 在对目标系统进行了页面映射(可以使用Web crawlers、wget、BlackWindo...

2012-08-23 22:35:23

阅读数:1446

评论数:0

Web入侵安全测试与对策学习笔记之(二)——获取目标信息之淘金

Web安全测试之——获取正确的目标信息 在战争中,通常都会需要花费大量时间去搜索、收集敌人的情报信息,用于及时了解敌人的动态,便于及时准备和调整战争部署,充分合理的利用自身的攻击能力——知彼知己者,百战不殆《孙子.谋攻》 Web安全测试也是如此,为了尽可能多的找出系统存在的重大安全bug,就需...

2012-08-21 21:34:07

阅读数:1925

评论数:0

Web入侵安全测试与对策学习笔记(一)——总览

Web入侵安全测试与对策 从web客户端进行测试需要考虑的特殊问题: 1、恶意的用户可以篡改客户机上的数据——一切皆有可能 结论:在没有得到服务器端对数据的双重认证时,不要在客户端执行重要的运算和验证。 2、来自web客户机的全部数据流都需要被歧视为不可信赖的,并且对其进行验证——信任来自...

2012-08-21 21:26:14

阅读数:933

评论数:0

安全测试发现可高速缓存的登录页面的解决方法

发现可高速缓存的登录页面 【问题描述】采用IBM Appscan进行扫描测试,发现可高速缓存的登录页面,给出的修改建议为: 【解决方法】 1、首先简单了解下HTTP通用信息头中的Pragma的含义: Pragma头字段的设置值只能固定为no-cache,即Pragma:no-cac...

2012-08-03 15:15:33

阅读数:4287

评论数:0

存安全漏洞:雅虎45万用户密码遭泄露

存安全漏洞:雅虎45万用户密码遭泄露

2012-07-16 11:01:08

阅读数:2188

评论数:0

授权测试专题之——权限提升测试

授权测试专题之——权限提升测试 权限提升是从一个特权等级升级到另一个特权等级的问题。在此阶段,测试需要确认用户不可能在应用程序内部使用特权提升攻击以修改自己的特权/角色。   一般权限提升分为垂直提升和横向提升。 垂直提升指某个用户从低权限通过利用某种应用漏洞或手段,提升为拥有高级别的访问...

2012-07-05 21:34:18

阅读数:1159

评论数:0

授权测试专题之——绕过授权模式测试

授权测试专题之——绕过授权模式测试 对于是否能够绕过系统授权认证,通常需要从以下几个方面进行评估测试: l  当用户没有通过验证时,是否有可能访问该资源?l  是否有可能在注销后访问该资源?l  是否有可能获得只应由拥有不同角色/特权的用户才能访问的功能和资源?l  尝试作为管理员用户...

2012-07-04 23:50:48

阅读数:1157

评论数:0

信息系统安全等级保护基本要求——管理要求

二、管理要求 标记说明:保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求(简记为S);保护系统连续正常的运行,免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求(简记为A);通用安全保护类要求(简记为G)   基本要求 第一...

2012-04-20 14:31:34

阅读数:4430

评论数:0

信息系统安全等级保护基本要求——技术要求

信息系统安全等级保护基本要求——技术要求   一、技术要求: 标记说明:保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求(简记为S);保护系统连续正常的运行,免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求(简记为A);通用安全保护类要求(简记为G...

2012-04-20 14:27:47

阅读数:5646

评论数:0

web安全测试之基本观察学习笔记——高亮显示JavaScript和注释

web安全测试之基本观察学习笔记——高亮显示JavaScript和注释 查看源代码有助于发现隐藏的不安全信息以及检查攻击的效果,而对于源代码中开发人员的注释以及javascript的在线动态行为都是我们需要重点关注的,我们可以利用webscarab快速找出嵌入式注释和Javascript。 运...

2012-04-13 14:20:01

阅读数:767

评论数:0

web安全测试之基本观察学习笔记——使用Tamper Data观察实时的响应头

web安全测试之基本观察学习笔记——使用Tamper Data观察实时的响应头                响应头是在服务器发送页面的HTML代码之前,从服务器发送到浏览器的。这些头信息包含以下信息:通信方式、页面类型、截止日期、内容类型等元数据。 我们可以使用Firebug查看到响应头,...

2012-04-13 10:59:21

阅读数:3211

评论数:0

web安全测试之基本观察学习笔记——使用WebScarab观察实时的POST数据

web安全测试之基本观察学习笔记——使用WebScarab观察实时的POST数据 POST请求时用于提交复杂表单最常见的方法,不同于GET取值,我们无法仅通过查看网页浏览器窗口顶部的URL来得知所有被传递的参数,参数经由连接从我们的浏览器传送到服务器。 我们可以使用web代理工具,观察...

2012-04-12 18:01:02

阅读数:5186

评论数:6

WebScarab入门指南

WebScarab入门指南 转自:http://blog.csdn.net/clangke/article/details/6254677 WebScarab具有大量的功能,因而可能会让新用户有一种无从下手之感。为求简单起见,拦截和修改浏览器和HTTP/S服...

2012-04-12 16:55:37

阅读数:1304

评论数:1

Web安全测试常用工具

Web安全测试常用工具 【说明】以下汇总整理来自《Web安全测试》第二章 安装免费工具。 序号 工具名称 工具说明 运行环境要求 下载地址 1 Firefox浏览器 Firefox浏览器具有可扩展的附...

2012-04-12 11:13:57

阅读数:3605

评论数:1

OWASP 测试框架工作流

【备注】上图来自OWASP测试指南(中文版)

2012-01-06 14:30:38

阅读数:448

评论数:0

功能性安全需求

1.    保护用户认证信息和共享的传输中和存储中的秘密;(比如最近CSDN、天涯社区数据库被曝,用户密码就是明文存储,没有保护措施) 附:CSDN、天涯社区道歉信 2.    在现实中隐藏所有保密信息(即,密码,帐户) ; 3.    在一定数量的登录失败后,锁定用户帐号;...

2012-01-06 09:46:39

阅读数:566

评论数:0

【安全设计准则】永远不要相信客户端的输入

【安全设计准则】永远不要相信客户端的输入

2011-12-04 17:42:23

阅读数:687

评论数:0

【软件安全测试艺术—学习】安全测试要点

1、明确安全测试与传统软件测试的不同传统软件测试侧重于功能需求验证,缺少安全方面的关注,而安全测试则偏重于如何绕过这些功能限制,去操纵软件系统,即非法进入系统,并进行操作。2、安全测试需要具备的基本条件——像攻击者一样思考 确定安全测试优先级通过对要执行的安全测试进行评估并进行优先级排序,就能在有...

2010-08-22 23:01:00

阅读数:803

评论数:0

提示
确定要删除当前文章?
取消 删除
关闭
关闭