web安全测试之三

Posted Yi_Warmth

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了web安全测试之三相关的知识,希望对你有一定的参考价值。

1:用户权限测试

(1)用户权限的控制

a:用户权限控制主要是对一些有权限控制的功能进行验证;

b:用户A进行的操作,用户B能否操作;

c:用户A有条件的用户才能查看的页面,用户B能否查看;(是否可以直接输入URL地址进入)

(2:)页面权限控制

a:必须有登录权限的页面,能否在未登录的情况下进行访问;

b:必须经过A-->B--->C的页面,能够通过A-->C?

2:URL安全测试

(1)适用范围: URL中含有参数,也就是通过GET方式传递的HTTP请求。

(2)什么叫GET方式?

HTTP定义了与服务器不同的交互方式,基本的是POST和GET方式。

GET方式在客户端通过URL提交数据,数据在URL中可以看到,例如在日常中订购服务:

http://pay.daily.taobao.net/mysub/subdeal/order_sub_deal.htm?servId=2

POST方式,数据放置在html HEADER内提交数据,数据在URL中看不到。GET只能传输少量数据,安全性较低;POST能传输大量数据,安全性较高。

(3)测试关注点

1)URL参数检查

A:  对URL中参数信息检查是否正确

如:URL中的订单号、金额允许显示出来的话,需要验证其是否正确

B:  对于一些重要的参数信息,不应该在URL中显示出来

如:用户登陆时登录名、密码是否被显示出来了 ,

2)URL参数篡改

修改URL中的数据,看程序是否能识别:

如:对于以下URL,修改其中planId,看是程序是否可以识别:

  http://pay.daily.taobao.net/mysub/plan/subplan/confirmSubPlanInfo.htm?planId=878

又如:对于URL中包含金额参数的,修改金额看是否能够提交成功(可能导致用户把2元金额改成1元金额能提交),还有修改订单号等重要信息看是否会报错

3)URL参数修改进行XSS攻击‘

什么是XSS?

  XSS的全称是Cross Site Script(跨站点脚本)

  XSS的原理很简单,即进行脚本注入,URL执行时即把此脚本进行了执行,一般都是javascript脚本

“http://demo.aa.org/index_Article_Class.asp?fID_ArticleClass=2&ArticleClassName=abc”

改成“http://demo.aa.org/index_Article_Class.asp?fID_ArticleClass=2&ArticleClassName=abc<script>alert("hello");</script>”看有没有弹出对话框显示hello,有的话就有跨站漏洞。

在URL中进行XSS注入,也就是把URL中的参数改成JS脚本。

4)URL参数中进行SQL注入

什么是SQL注入?

  SQL注入全称是SQL Injection ,当应用程序使用输入内容来构造动态sql语句以访问数据库时,会发生sql注入攻击,如查询、插入数据时。

测试方法: URL中写入SQL注入语句,看是否被执行,如:http://demo.testfire.net这个网站中,选择sign in设置用户名为 admin ‘ or ‘1‘=‘1   密码为任意数字  ,点击登录就可以登陆。

一般情况下要进行SQL注入攻击,需要对数据库类型、表名、判断逻辑、查询语句等比较清楚才能够写出有效的SQL注入语句。

3.表单提交安全测试

适用范围:有表单提交的地方、有HTTP请求的地方(包括GET、POST请求)

测试关注点:

1) 表单中注入XSS脚本

2) 表单中注入SQL 脚本

  与URL中参数进行SQL注入类似,就是在表单中写入SQL注入脚本提交看是否会有问题

4:session测试

(1)session是客户端和服务器之间建立的会话,存放在服务器中,服务器会为每次对会话生成一个sessionID,每个客户对应一个sessionID。并不是浏览器关闭就结束了本次对话,通常是用户执行退出或者session超时才会结束对话。

(2)测试关注点

a:    session互窜

Session互窜即是用户A的操作被用户B执行了。

验证Session互窜,其原理还是基于权限控制,如某笔订单只能是A进行操作,或者只能是A才能看到的页面,但是B的session窜进来却能够获得A的订单详情等。

Session互窜方法:

多TAB浏览器,在两个TAB页中都保留的是用户A的session记录,然后在其中一个TAB页执行退出操作,登陆用户B,此时两个TAB页都是B的session,然后在另一个A的页面执行操作,查看是否能成功。预期结果:有权限控制的操作,B不能执行A页面的操作,应该报错,没有权限控制的操作,B执行了A页面操作后,数据记录是B的而不是A的。

b:  session超时

基于Session原理,需要验证系统session是否有超时机制,还需要验证session超时后功能是否还能继续走下去。

测试方法:

  1、打开一个页面,等着10分钟session超时时间到了,然后对页面进行操作,查看效果。

  2、多TAB浏览器,在两个TAB页中都保留的是用户A的session记录,然后在其中一个TAB页执行退出操作,马上在另外一个页面进行要验证的操作,查看是能继续到下一步还是到登录页面。

 

以上是关于web安全测试之三的主要内容,如果未能解决你的问题,请参考以下文章

网络安全从入门到精通(第一章-2)快速自建web安全测试环境

转Web安全测试之XSS

Web 系统的安全性测试之文件和目录测试

Web 攻防之业务安全:验证码绕过测试.

web安全测试之 xss攻击

web安全测试之三