WEB安全测试培训_第1页
WEB安全测试培训_第2页
WEB安全测试培训_第3页
WEB安全测试培训_第4页
WEB安全测试培训_第5页
已阅读5页，还剩26页未读， 继续免费阅读

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

WEB安全培训

更多软件测试资料尽在road软件测试论坛/bbs/知己知彼，百战不殆Contents用户输入1WEB程序安全问题2WEB服务器端安全问题3WEB应用扫描器4用户的输入所有用户输入都是非法的，除非被证明不是一半以上的程序安全问题源于缺乏对用户可控数据的处理程序员如果本着人之初性本善的想法，那么写的程序难免出问题

用户输入直接输入GETPOSTCookieHTTP头环境变量间接输入数据库取出的数据编码的用户数据WEB程序安全问题SQL注入跨站脚本UrlRedirect跳转AccessControl越权访问SQL注入SQL注入简介拼接的SQL字符串改变了设计者原来的意图，执行了如泄露、改变数据等操作，甚至控制数据库服务器拼接SQL字符串灵活方便，但是容易导致安全问题SQL注入SQL注入原理http://victim/news.php?id=3721select*fromnewswhereid=$idselect*fromnewswhereid=3721SQL注入利用利用示例http://victim/news.php?id=0unionselectname,pwfromusersselect*fromnewswhereid=$idselect*fromnewswhereid=0unionselectname,pwfromusersSQL注入的危害泄露敏感信息攻击者可以获取后台数据库的种类、版本，操作系统信息，数据库名、表名、字段名以及数据库中的数据信息泄露敏感信息无需知道口令就能以用户身份登陆应用系统篡改敏感数据对数据库进行增加、删除、篡改的操作执行任意系统命令利用数据库支持的特定功能，执行任意命令SQL注入的危害不同的数据库，不同的数据库配置，危害程度不一样SQLServer默认配置并且使用sa帐号MySQL版本、数据库root帐号、系统root用户启动服务SQL注入避免SQL注入过滤拼接字符串中的用户数据，尤其不能忽视间接输入数据的SQL语句拼接如果可能，使用其他方法代替SQL语句拼接使用WEB应用扫描器检测程序相对比较明显的SQL注入问题跨站脚本跨站脚本简介跨站脚本(Cross-SiteScripting)是指远程WEB页面的html代码可以插入具有恶意目的的数据，当浏览器下载该页面，嵌入其中的恶意脚本将被解释执行，从而对客户端用户造成伤害。简称CSS或XSS不影响服务端程序，但影响客户端跨站脚本请求：/?name=<script>alert(/XSS/)</script>展现：<html><body><p>Hello<script>alert(/XSS/)</script></p></body></html>跨站脚本危害窃取Cookiedocument.cookie页面内容被篡改Js代码改写/跳转页面蠕虫Myspace新浪微博恶意代码跨站脚本防御显示用户数据时对“<>&”等HTML符号进行编码转换htmlspecialchars过滤必要的XHTML属性及各种编码，尤其在WEB提供样式功能的时候设计时要考虑到关键内容不能由用户的直接数据显示，要有转换或后台间接审核的过程用WEB应用扫描器对程序进行检测UrlRedirect跳转UrlRedirect钓鱼攻击原理redirect.htm?target=URL跳转攻击QQQQ用户URL跳转攻击UrlRedirect策略目标地址应限制跳转到当前域内如果需要跳转到外部链接需要有url的白名单AccessControlAccessControl攻击例子(前台代码)<formaction="/message/pmsg/read.html"method="post"><inputtype="hidden"name="messageId"value="54981193"><inputtype="button"name="delete"value="删除留言"onClick="delMessage()">AccessControlAccessControl攻击例子(后台代码)publicbooleancanManageMssage(){if(isAdmin()){returntrue;}……}检查了角色但是短消息属于用户，不属于角色AccessControlAccessControl安全策略权限框架SQL语句条件Cookie的安全简介Cookie是Netscape的一个重大发明，当用户访问网站时，它能够在访问者的机器保存一段信息，可以用来标识各种属性。当用户再次访问这个网站的时候，它又能够读出这些信息，这样WEB程序就能知道该用户上次的操作Cookie大大提高了用户体验，被广泛使用Cookie的安全Cookie的欺骗Cookie是纯客户端数据，非常容易伪造文件型的Cookie可以直接改浏览器的Cookie文件通过curl或firefox的LiveHTTPHeaders插件可以轻松伪造各种类型的Cookie数据Cookie的安全使用Cookie时应注意的问题尽量不要用Cookie明文存储敏感信息数据加密后保存到客户端的Cookie为Cookie设置适当的有效时间WEB服务器端安全问题合理的文件权限设置取消WEB用户对apache日志的读权限nobody有写权限的WEB目录取消解析权限WEB服务器端安全问题信息泄露服务器版本信息泄露运行环境遗留测试文件phpinfo.phpconn.asp.bak程序出错泄露物理路径程序查询出错返回SQL语句过于详细的用户验证返回信息WEB应用扫描器AppScan非常专业的商业WEB应用扫描器功能强大，准确率高，尤其是跨站脚本和SQL注入的检测扫描速度较慢

人人文库> 全部分类> 教育资料 > 课件下载

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论