业务安全部分总结

一．暴力破解测试

      就是指对应用系统用户登录账号与密码进行的穷举测试，针对账号和密码进行逐一比较，直到找到正确账号与密码。

      一般是三种情况：

            已知账号，加载密码字典对密码进行穷举测试；

           未知账号，加载账号字典，结合密码字典进行穷举测试；

           未知账号与密码，利用账号与密码进行穷举测试；

     使用BurpSuite工具进行破解。

     修复建议：增加验证码，登陆失败一次则验证码重新变换一次；

                       配置登录失败次数限制策略，同一用户连续输错密码几次则在一定时间内限制其登录；

                       增加短信验证码与邮箱验证码双重验证。

二．本地加密传输测试

      就是针对客户端与服务器的数据传输，查看数据是否采用SSL安全套接字加密方式加密。

      使用Fiddle或Wireshark抓包工具进行登录页面用户名与密码的数据抓取，未采用SSL协议且对登录信息未进行算法加密的可直接拿到明文数据。

      修复建议：在Web应用的服务器上部署有效的SSL证书服务。

三.Session会话固定测试

      Session是针对应用系统对浏览器客户端身份认证的属性标识，在用户退出应用系统时，应将客户端session认证属性标识清空。如果未能清空客户端Session标识，在下次登录系统时，系统会重复利用该Session标识进行认证会话