安全测试常用功能点

1. 不登录系统,直接输入登录后的页面的URL是否可以访问;

2. 不登录系统,直接输入下载文件的URL是否可以下载文件;如输入:http://url/download?name=file是否可以下载文件file

3. 退出登录后,后退按钮能否访问之前的页面;

4.ID/密码验证方式中能否使用简单密码;如密码标准为6位以上,字母和数字的组合,不包含ID,连接的字母或数字不能超过n位

5.ID/密码验证方式中,同一个帐号在不同的机器上不同时登录

6.ID/密码验证方式中,连续数次输入错误密码后该帐户是否被锁定

7.重要信息(如密码,×××,信用卡号等)在输入或者查询时是否明文显示;在浏览器地址栏中输入命令JavaScript:alert(doucument.cookie)时是否有重要信息;在html源码中能否看到重要信息;

8.手动更改URL中的参数值能否访问没有权限访问的页面。如普通用户对应的URL中的参数为l=e,高级用户对应的URL中的参数为l=s,以普通用户的身份登录系统后将URL中的参数e改为s来访问没有权限访问的页面

9.URL里不可修改的参数是否可以被修改;

10.上传与服务器端语言(jsp,asp,PHP)一样扩展名的文件或exe等可执行文件后,确认在服务器端是否可直接运行

11.注册用户时是否可以以‘–’or1=1—等做为用户名

12.传送给服务器的参数(如查询关键字,URL中的参数等)中包含特殊字符(‘.’and1=1–.‘and1=0–.’.‘or 1=0–)时是否可以正常处理

13.执行新增操作时,在所有的输入框中输入脚本标签(<script>alert(“”)</script>)后能否保存;

14.新增或修改重要信息(密码,×××号码,信用卡号等)时是否有自动完成功能(在form标签中使用autocomplete=0来关闭自动完成功能)

15.在URL中输入下面的地址是否可以下载http://url/download.jsp?file=c:/windows/system32/drivers/etc/hosts,http://url/download.jsp?file=/etc/password

16.是否对session的有效期进行处理

17.错误信息中是否含有SQL语句,SQL错误信息以及web服务器的绝对路径的等

原创文章,作者:ItWorker,如若转载,请注明出处:https://blog.ytso.com/tech/opensource/186567.html

(0)
上一篇 2021年11月4日 12:18
下一篇 2021年11月4日 12:18

相关推荐

发表回复

登录后才能评论