web安全手工测试---浏览器使用（实验原理及思路更重要）

1、火狐浏览器禁用JS：打开火狐--->about:config--->javascript.enabled--->切换成false；

2、两个例子

3、黑掉网站思路：发现漏洞、验证漏洞、利用漏洞、获取权限

           保护网站：发现漏洞、验证漏洞、思考原理及成因、修复漏洞

4、浏览器安全特性及设置：谷歌+火狐+IE（可导致同一个漏洞在不同浏览器触发效果不同，根据测试需要修改浏览器默认安全设置)

（1）谷歌：设置--高级--内容设置---JS及弹窗设置（XSS漏洞验证时使用，为了测试方便）或者针对某一个网站使用快捷按钮修改JS及弹窗设置。

  安全测试常用功能:

  1.清除缓存  开启隐身模式（不会记录浏览记录或cookie信息）或清除浏览历史记录

  2.查看网页源代码   鼠标右键或view-source+url

  3.查看DOM元素（为了了解CSS样式或JS脚本对元素的渲染效果，当form表单参数或分析下拉框如何实现时需要定位都没元素）

 4.查看网络数据包 网络请求信息 网络响应信息

 

（2）火狐：选项--隐私与安全--权限--弹窗设置（XSS漏洞验证）

（3）IE：internet选项--安全--自定义级别--启用/禁用XSS筛选器

5、安全测试常用功能：