白山市城乡建设局网站,广元网站建设seo优化营销制作设计,天津公司网站建设公司哪家好,建筑公司企业理念1、问题#xff1a;没有被验证的输入 测试方法#xff1a;
数据类型#xff08;字符串#xff0c;整型#xff0c;实数#xff0c;等#xff09; 允许的字符集
最小和最大的长度 是否允许空输入 参数是否是必须的 重复是否允许 数值范围 特定的值#xff08;枚举型没有被验证的输入 测试方法
数据类型字符串整型实数等 允许的字符集
最小和最大的长度 是否允许空输入 参数是否是必须的 重复是否允许 数值范围 特定的值枚举型 特定的模式正则表达式
2、问题有问题的访问控制
测试方法
主要用于需要验证用户身份以及权限的页面复制该页面的url地址关闭该页面以后查看是否可以直接进入该复制好的地址 例从一个页面链到另一个页面的间隙可以看到URL地址 直接输入该地址可以看到自己没有权限的页面信息
3、错误的认证和会话管理
例对Grid、Label、Tree view类的输入框未作验证输入的内容会按照html语法解析出来
4、缓冲区溢出
没有加密关键数据
例viewsourcehttp地址可以查看源代码
在页面输入密码页面显示的是 *****, 右键查看源文件就可以看见刚才输入的密码
5、拒绝服务
分析攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序最终使程序陷入瘫痪。需要做负载均衡来对付。
6、不安全的配置管理
分析Config中的链接字符串以及用户信息邮件数据存储信息都需要加以保护
程序员应该作的 配置所有的安全机制关掉所有不使用的服务设置角色权限帐号使用日志和警报。
分析用户使用缓冲区溢出来破坏web应用程序的栈通过发送特别编写的代码到web程序中攻击者可以让web应用程序来执行任意代码。
7、注入式漏洞
例一个验证用户登陆的页面
如果使用的sql语句为
Select * from table A where username’’ username’’ and pass word ……
Sql 输入 ‘ or 11 ―― 就可以不输入任何password进行攻击
或者是半角状态下的用户名与密码均为‘or’‘’
8、不恰当的异常处理
分析程序在抛出异常的时候给出了比较详细的内部错误信息暴露了不应该显示的执行细节网站存在潜在漏洞
9、不安全的存储
分析帐号列表系统不应该允许用户浏览到网站所有的帐号如果必须要一个用户列表推荐使用某种形式的假名屏幕名来指向实际的帐号。
浏览器缓存认证和会话数据不应该作为GET的一部分来发送应该使用POST
10、问题跨站脚本XSS
分析攻击者使用跨站脚本来发送恶意代码给没有发觉的用户窃取他机器上的任意资料
测试方法
• HTML标签……/…
• 转义字符()()() (空格)
• 脚本语言
• 特殊字符‘ ’ /
• 最小和最大的长度
• 是否允许空输入 【下面是我整理的2023年最全的软件测试工程师学习知识架构体系图】 一、Python编程入门到精通
二、接口自动化项目实战 三、Web自动化项目实战
四、App自动化项目实战 五、一线大厂简历
六、测试开发DevOps体系 七、常用自动化测试工具
八、JMeter性能测试 九、总结尾部小惊喜
生命不息奋斗不止。每一份努力都不会被辜负只要坚持不懈终究会有回报。珍惜时间追求梦想。不忘初心砥砺前行。你的未来由你掌握
生命短暂时间宝贵我们无法预知未来会发生什么但我们可以掌握当下。珍惜每一天努力奋斗让自己变得更加强大和优秀。坚定信念执着追求成功终将属于你
只有不断地挑战自己才能不断地超越自己。坚持追求梦想勇敢前行你就会发现奋斗的过程是如此美好而值得。相信自己你一定可以做到
