测试目标
发现系统存在的安全隐患
发现系统设计缺陷:权限控制,数据加密,数据导出等。
测试范围
测试的系统:
- 1
- 2
- 3
测试内容
系统设计方案review,开放性测试(adhoc)
安全扫描:扫描工具-kali
- web服务器安全漏洞
- web服务器错误配置
- SQL注入
- XSS(跨站脚本攻击)
- CRLF注入
- 目录遍历
- 权限认证
- 字典遍历
常见场景(持续补充):
1、仅前端控制权限,后端无限制
exa. 当前登录用户的session,请求权限内的资源ok,更改leads为未关注,是否显示
如果为传employee_id 的接口,传和当前登录账号不一样的账号,是否显示数据
2、是否有反爬虫机制
访问次数限制,访问受限资源,黑名单(IP,用户)
3、敏感数据是否加密
4、接需求的时候,考虑安全,性能风险
5、不连VPN(数据库),内网(in)可以访问--暴露在公网,伪造信息
6、数据库备份,主从备份,数据的明文存储(用户名,密码,身份证号,手机号)
测试执行
人员:
时间:
扫描工具:原则上扫描工具必须下班后执行。
风险规避
可能会对线上系统造成的影响
运维备案:
系统备份:
应急方案: