web基本安全测试

一、OWASP服务端安全测试体系

官网：https://owasp.org/
模拟网站：http://47.95.238.18:9080/index/php

常见安全测试工具：
OWASP ZAP 开源测试工具
WVS
AppScan
BurpSuite
Sqlmap 开源测试工具

安全测试关注维度
传输
敏感信息传递加密
链路加密
接口
访问限制
参数
注入：sql注入、命令注入、文件注入
越权：越过更高的权限、越过同级权限

常见安全List
业务数据传输链路分析
http是否传输敏感信息
tcp等协议是否可被解密
资产安全分析
api清单收集：明确敏感信息分级，可以访问性验证
api参数收集：明确参数分类并针对分析
token可以遍历
文件上传
身份参数的有效性验证

建立安全测试流程
白盒代码分析：自动化
sonar、findbugs等
黑盒扫描机制：自动化
zap、wvs、burpsuite、appscan、sqlmap
业务流程安全搜索：人工检测
burpsuite、zap

安全测试工具BurpSuite
重要功能
代理工具（Proxy）
爬虫（Intruder）
暴力破解（Intruder）
漏洞扫描（Scanner 付费）
重放请求（Repeater）
附属工具（decode comparer）
扩展定制（Extender）

主要应用场景：
服务端攻击：篡改请求
客户端攻击：篡改响应

Burp Suite使用
官网：https://portswigger.net/burp

命令注入
命令注入是一种攻击，其目标是通过易受攻击的应用程序在主机操作系统上执行任意命令，当应用程序将用户提供的不安全数据（表格、cookie、HTTP请求头等）传递到shell时，可能会发生命令注入攻击。在这种攻击中，通常由易受攻击的应用程序以特权执行由攻击者提供的操作系统命令。由于没有足够的输入验证，因此可能会发生命令注入攻击。

常用的漏洞payload
多语句：；
条件执行：&& ｜｜
管道符号： ｜
案例：
127.0.0.1&&dir
127.0.0.1;dir
127.0.0.1|dir

SQL注入
SQL注入（英文：SQL injection），也称SQL注入或者SQL注码，是发生于应用程序于数据库层的安全漏洞。简而言之，是输入的字符串之中注入SQL指令，在设计不良的程序当中忽略了字符检查，那么这些注入的额恶意指令就会被数据库服务器认为是正常的SQL指令二运行，因此遭到破坏或是侵入。

strSQL="SELECT * FROM users WHERE(name='"+userName+'")and(pwd="'+passWord+'")"
userName = "1'OR '1'='1";
passWord = "1'OR'1'='1";
strSQL="SELECT * FROM users WHERE(name='1' OR '1'='1') and(pwd='1'OR'1'='1');"

XSS漏洞介绍与原理
跨站脚本攻击（简称XSS）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。他允许恶意用户将代码注入到网页，其他用户在观看网页时就会收到影响。这类攻击通常包含了HTML及用户端的语言。
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意的指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也是可以包括Java，VBScript，ActiveX，Flash或者是普通的HTML。攻击成功后，攻击者可能得到更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

常见的攻击payload

><script>alert(document.cookie)</script>
='><script>alert(document.cookie)</script>
"><script>alert(document.cookie)</script>
<script>alert(document.cookie)</script>
%3Cscript%3Ealert('XSS')%3C/script%3E
<script>alert('XSS')</script>
<img src="javascript:alert('XSS')">
<img src="https://dss0.bdstatic.com/5aV1bjqh_Q23odCf/static/superman/img/topnav/baiduyun@2x-e0be79e69e.png" onerror="alert('XSS')">

CSRF 漏洞介绍与原理
跨站请求伪造，也被称为one-click attack或 session riding，通常缩写称CSRF或者XSRF，是一种胁制用户在当前登陆的web应用程序上执行非本意的操作的共哦方法。【1】跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF利用的是网站对用户网页浏览器的信任技术手段
跨站请求攻击，简单的说，是攻击者通过一些欺骗用户的浏览器去访问一个自己曾经认证过的网站并进行一系列操作（如：发邮件、发信息、支付）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能不保证请求本身是用户自愿发出的。
常见payload
利用url
利用图片请求
利用伪造表单