安全测试报告解读

最新推荐文章于 2023-07-20 12:01:34 发布

「已注销」

最新推荐文章于 2023-07-20 12:01:34 发布

阅读量5.4k

点赞数

文章标签：测试 javascript sql 脚本 blog

本文链接：https://blog.csdn.net/dipolar/article/details/8024897

版权

本文基于AppScan8.6的安全测试报告进行解读，涵盖包括SQL注入、跨站脚本、敏感信息泄露等风险点，并提出相应的修订建议，如使用SSL、去除敏感信息、设置HttpOnly属性等。同时，报告也揭示了后端代码中如单例竞争、不安全随机数等问题，为提升应用程序安全性提供指导。

摘要由CSDN通过智能技术生成

具体工作情景上篇Blog说了，此处不多赘言，写这篇，是因为后来我想起来这个测试报告的信息量很大，值得学习一下报告本身的一些技术内容，写这个blog就是这个个学习的过程。

这个报告由AppScan8.6扫描得出,主要分为以下问题类型：

修订建议
n Review possible solutions for hazardous character injection
n 发送敏感信息时，始终使用 SSL 和 POST（主体）参数。
n 除去 HTML 注释中的敏感信息
n 除去 Web 站点中的电子邮件地址
n 除去 Web 站点中的内部 IP 地址
n 除去服务器中的测试脚本
n 除去客户端中的业务逻辑和安全逻辑
n 将“autocomplete”属性正确设置为“off”
n 为 Web 服务器或 Web 应用程序下载相关的安全补丁
n 向所有会话 cookie 添加“HttpOnly”属性
n 验证参数值是否在其预计范围和类型内。不要输出调试错误消息和异常
咨询
n SQL 盲注
n SQL 注入
n 跨站点脚本编制
n 使用 SQL 注入的认证旁路
n 已解密的登录请求
n 链接注入（便于跨站请求伪造）
n 通过框架钓鱼
n 发现数据库错误模式
n 会话 cookie 中缺少 HttpOnly 属性
n 自动填写未对密码字段禁用的 HTML 属性
n HTML 注释敏感信息泄露
n 发现电子邮件地址模式
n 发现可能的服务器路径泄露模式
n 发现内部 IP 泄露模式
n 检测到应用程序测试脚本
n 客户端（Java