对于web安全测试的一些感悟
2013-11-29 13:58
267 查看
起初对于web安全性测试有了很大的误区,作为一个菜鸟,我认为做安全性测试首先要以黑客的身份去看网站,找寻漏洞,进行入侵。为此,我找了很多家网站进行学习,如习科论坛等。也在项目中进行了尝试,找了个xss 、sql注入之类的点,觉得这就是安全测试。后来发现我这样做对于测试来说有很大的差别。基本上不能保证被测系统的安全性。
在和同事的讨论中,对于测试有了一点新的认知。类似于功能测试,要保证每个点都不存在问题。如果是安全测试的话,也要保证每个页面上的功能点不存在安全问题。
今天组长给我们发了个ppt,我针对安全方面看了一下,对于安全测试有了点总结。
第一:要明白原理,不论是sql注入、xss还是csrf等,都是要了解入侵原理的,否则会扩大测试范围。比如有人问我,你测试了csrf了吗?你测试权限会话劫持了吗?你测试越权了吗?是不是一头雾水?这些都是黑客技术中的一个名词,但是这些其实都是来自于窃取用户cookies后的不同操作,如何保证cookies被窃取后不被他人使用才是测试的关键。这样做才能减少各种名词对于测试人员的伤害。
第二:要把原理转换成用例。针对每个页面,或者有功能的页面(增删改)等。先判断页面是否有必要测试(静态页面做sql注入就没必要)。然后再将原理转换成合适的用例。类似于这张截图:
![](http://img.blog.csdn.net/20131129135728421?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvdTAzMDI0MjE4/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center)
以上
原理的东西很多,很多都是我不会的。一点一点来吧。
在和同事的讨论中,对于测试有了一点新的认知。类似于功能测试,要保证每个点都不存在问题。如果是安全测试的话,也要保证每个页面上的功能点不存在安全问题。
今天组长给我们发了个ppt,我针对安全方面看了一下,对于安全测试有了点总结。
第一:要明白原理,不论是sql注入、xss还是csrf等,都是要了解入侵原理的,否则会扩大测试范围。比如有人问我,你测试了csrf了吗?你测试权限会话劫持了吗?你测试越权了吗?是不是一头雾水?这些都是黑客技术中的一个名词,但是这些其实都是来自于窃取用户cookies后的不同操作,如何保证cookies被窃取后不被他人使用才是测试的关键。这样做才能减少各种名词对于测试人员的伤害。
第二:要把原理转换成用例。针对每个页面,或者有功能的页面(增删改)等。先判断页面是否有必要测试(静态页面做sql注入就没必要)。然后再将原理转换成合适的用例。类似于这张截图:
以上
原理的东西很多,很多都是我不会的。一点一点来吧。
相关文章推荐
- 对于团队的一些感悟感想
- 对于seo培训的一些感悟。
- 对于团队的一些感悟感想
- 对于Windows传感器开发的一些感悟
- 一些对于机器学习的感悟和思考
- 对于php、mysql优化、angularjs的一些小感悟
- 对于ppt设计的一些感悟
- 对于看书的一些感悟(编程思想)
- [置顶] 一个二年级菜鸟对于面向对象的一些感悟
- 对于用动态连接库导出的一些感悟
- 测试生活的一些自我感悟
- POJ1644 DP+一些感悟
- 对于面向对象的一些通俗的理解。
- 对于白神贪心问题的感悟
- 对于新手和熟手的一些想法
- 自己对于Fragment的一些总结
- 对于TCP协议中IOCP模型的一些简单的理解
- 对于系统设计的一些想法
- 最近招聘面试的一些感悟
- 人员管理的一些感悟