今天主要給大家分享下有關安全測試的一些知識點以及注意事項。
乙個系統的安全驗證點包括上傳功能、註冊功能/登陸功能、驗證碼功能、密碼、敏感資訊洩露、越權測試、錯誤資訊、session等。
1、上傳功能
2、註冊功能/登陸功能
3 、驗證碼功能
4、 忘記密碼
5 、敏感資訊洩漏
6 、越權測試
手動更改url中的引數值能否訪問沒有許可權訪問的頁面
不同使用者之間session共享，可以非法操做對方的資料
7 、錯誤資訊
8、 session
主要歸結為以下幾點：（後期可以優化成乙個安全測試的框架結構）
1、日誌/提示
在系統的初期，一般比較容易發現的問題就是在進行一些錯誤或者反向測試時，在頁面的提示中會出現帶有明顯的資料庫的表或者欄位的列印，或者會出現一些敏感詞，日誌裡面類似密碼，卡號，身份證號沒有相應的明密文轉換，而這些敏感詞/明密文不互轉的存在，就會導致攻擊者能夠獲取到，從而進行簡單粗暴的攻擊，輕易的攻擊伺服器或者資料庫，這就會危害到整個系統！
2、重複性
大部分的web**都會有註冊功能，而類似我們負責支付這塊也都會有開戶，就註冊跟開戶，基本上需求上都會有唯一性的校驗，在前端就會進行攔截，但如果使用jmter進行引數以及引數值的新增，有可能新增成功，就會導致頁面系統裡面會出現相同資料，可能導致整個功能的出錯。
3、次數限制
類似發單，登入或者簡訊，如果沒有進行相應的限制，如簡訊，沒有進行限制次數，攻擊者就會通過簡訊轟炸，攻擊系統，導致系統癱瘓，其他客戶就會使用不了該系統。
4、越權測試
（基本上大部分系統都沒有明確的寫出越權方面的需求）乙個web系統，一般位址列都會有引數的帶入，如：使用者號，訂單號或者是其他的一些引數，而在這個基礎上乙個系統都會有很多使用者，或者很多等級，如：a大於b大於c，那我使用c使用者進行登入，檢視c使用者所屬的訂單，在位址列中會有訂單號的引數帶入，如果系統沒有進行相應的限制，此時c使用者就可以修改訂單號從而可以看到b乃至a使用者的資料，這就可能導致資料的洩露，再者，如果可以修改使用者的使用者號，沒有做處理，這樣就可以對所有資料進行操作，整個系統就亂了，影響很大。
5、sql注入/xss攻擊
主要是輸入框的校驗/攔截以及是否轉義，如果沒有系統沒有對輸入的內容進行處理，那攻擊者就可以輸入一段sql語句，或者一段**，在後台進入到相應的功能，就會導致整個功能是錯亂的，其他正常使用者所提交的資料也檢視操作不了，或者提交的**是死迴圈（">），就會關閉不掉，所以這點是非常重要的。
基本上上述的五點都是在測試中，系統真實存在，發生的問題，還有其他問題就不一一例舉了，其中越權跟sql注入以及xss攻擊都是重中之重！
上面所述的都是需要人工進行手動參與，且人力操作時不會那麼飽滿全面，所以這是乙個遇到的小問題。現在有乙個針對web系統進行漏洞掃瞄的工具:awvs，它通過網路爬蟲測試你的**安全，檢測流行安全漏洞，針對漏洞主要分為四個等級：高危、中危，低危以及優化，它會進行內外鏈結的安全性，檔案是否存在以及傳輸是否安全，也包含sql注入跟xss攻擊，輸入位址，使用者名稱密碼後，進行掃瞄完成後會展示相應的資料：漏洞的數量，漏洞的描述，建議性的修復；掃瞄**的時長，檔案資料量，環境資訊等，較為全面！
主要根據以下六點來實現乙個較為完整的安全測試的思路，框架就是根據半手工、半自動來實現整個系統的驗證。
現在的安全測試大多是半手工、半自動化，但都不是專業級，所以還在摸索階段，只能盡可能地去發現系統中存在的漏洞，且測試理論很難適用於安全領域；
安全測試基礎理論薄弱,當前測試方法缺少理論指導，也缺乏更多的技術產品工具 ；
安全測試需要對系統所採用的技術以及系統的架構等進行分析，這方面也是較為薄弱的環節！
大家想要學習資料交流前端的可以加q群
11個免費的Web安全測試工具
hackchecker 黑測工作室 專注於軟體安全測試技術研究！www.automationqa.com 1.netsparker community edition windows 這個程式可以檢測sql注入和跨頁指令碼事件。當檢測完成之後它會給你提供一些解決方案。2.websecurify wi...
11個免費的Web安全測試工具
1.netsparker community edition windows 這個程式可以檢測sql注入和跨頁指令碼事件。當檢測完成之後它會給你提供一些解決方案。2.websecurify windows,linux,mac os x 這是個簡單易用的開源工具，此程式還有一些人外掛程式支援，可以自動...
11個免費的Web安全測試工具
1.netsparker community edition windows 這個程式可以檢測sql注入和跨頁指令碼事件。當檢測完成之後它會給你提供一些解決方案。2.websecurify windows,linux,mac os x 這是個簡單易用的開源工具，此程式還有一些人外掛程式支援，可以自動...