01安全测试的定义安全测试是建立在功能测试基础上进行的测试安全测试提供证据表明在面对恶意攻击时应用仍能充分满足它的需求主要是对产品进行检验以验证是否符合安全需求定义和产品质量标准的过程。02安全测试的目的1)提升产品安全质量2)尽量在发布前找到安全问题予以修补降低风险3) 度量安全等级4)验证安装在系统内的保护机制能否在实际应用中对系统进行保护使之不被非法入侵03安全测试与传统测试的区别类比项安全测试传统测试目标差异以发现安全隐患为目的以发现BUG为目的假设条件差异假设导致问题的数据是攻击者处心积虑构造的假设导致问题的数据是用户不小心造成的接口一般只考虑界面思考域差异思考域不但包括系统功能还有系统的机制外部环境应用与数据自身风险与安全以系统所具有的功能为思考域问题发现模式以违反权限与能力的约束为依据以违反功能定义为判断依据04安全测试的类型1.跨站脚本(XSS)XSS 又叫 CSS(CROSS SET SCRIPT)跨站脚本攻击。它指的是恶意攻击者往 WEB 页面里插入恶意的 html 代码当用户浏览该页面时嵌入其中的 html 代码会被执行从而达到恶意用户的特殊目的;(钓鱼、盗取cookie、操纵受害者的浏览器、蠕虫攻击)2.反射型跨站(Reflected XSS)服务器端获取 http 请求中的参数未经过滤直接输出到客户端。如果这些参数是脚本它将在客户端执行(钓鱼常见)。3.存储型跨站(Stored XSS)用户输入的数据存在服务器端(一般存在数据库中)其他用户访问某个页面时这些数据未经过滤直接输出。这些数据可能是恶意的脚本对其他用户造成危害。(挂马常见)在允许上传文件的应用中攻击者上传一个包含恶意代码的 html 或者 txt 文件用户浏览这些文件执行恶意代码;一般的应用中上传图片最普遍如果图片中包含恶意代码的 html 或者 txt 文件低版的 IE 直接请求这个图片时将忽略 Content-Type 执行图片中的代码。4.DOM 跨站 (DOM-Based XSS)攻击者构造一个包含恶意 Javascript 的 URL然后引诱用户请求这个 URL。服务器收到请求后没有返回恶意的 Javascript。浏览器在处理 URL 中的数据时执行恶意代码。5.跨站请求伪造 (CSRF)强迫受害者的浏览器向一个易受攻击的 Web 应用程序发送请求,最后达到攻击者所需要的操作行为。恶意请求会带上浏览器的 Cookie。受攻击的 Web 应用信任浏览器的 Cookie。6.SQL 注入用户输入的数据未经验证就用来构造 SQL查询语句查询数据库中的敏感内容,绕过认证添加、删除、修改数据、拒绝服务。7.XML 注入和 SQL 注入原理一样XML 是存储数据的地方如果在查询或修改时如果没有做转义直接输入或输出数据都将导致 XML 注入漏洞。攻击者可以修改 XML 数据格式增加新的 XML 节点对数据处理流程产生影响。8.URL 跳转Web 应用程序接收到用户提交的 URL 参数后没有对参数做” 可信任 URL” 的验证就向用户浏览器返回跳转到该 URL 的指令。(钓鱼攻击)9.文件系统跨越文件系统中../代表上级目录通过一个或多个../跨越目录限制。10.系统命令用户提交的参数用于执行系统命令的参数。使用”|” 或”;” 执行多条命令。11.文件上传Web 应用程序在处理用户上传的文件时没有判断文件的扩展名是否在允许的范围内或者没检测文件内容的合法性就把文件保存在服务器上甚至上传脚本木马到 web 服务器上直接控制 web 服务器。(未限制扩展名、未检查文件内容、病毒文件)12.任意文件下载下载附件等功能Apache 虚拟目录指向Java/PHP 读取文件下载数据库配置文件等目录浏览13.权限控制有没有权限有些系统不需要权限控制有没有设置权限有了强大的权限系统但是没有使用有没有偷工减料权限URL 级别菜单级别14.访问控制水平权限Web 应用程序接收到用户请求修改某条数据时没有判断数据的所属人或判断数据所属人时从用户提交的 request 参数(用户可控数据)中获取了数据所属人 id导致恶意攻击者可以通过变换数据 ID或变换所属人 id修改不属于自己的数据。垂直权限由于 web 应用程序没有做权限控制或仅仅在菜单上做了权限控制导致的恶意用户只要猜测其他管理页面的 URL就可以访问或控制其他角色拥有的数据或页面达到权限提升目的。15.Session Expires会话过期浏览器过期服务器 30 分钟无动作过期服务器 24 小时强制过期保持会话05安全测试工具AppScan一款安全漏洞扫描工具它相当于是探索和测试的过程最终生成很直观的测试报告有助于研发人员分析和修复官网https://www.ibm.com/developerworks/downloads/r/appscan/BurpSuite一款信息安全从业人员必备的集成型的渗透测试工具它采用自动测试和半自动测试的方式包含了Proxy,Spider,Scanner,Intruder,Repeater,Sequencer,Decoder,Comparer 等工具模块;官网https://portswigger.net/burp/Nmap一个网络连接端扫描软件用来扫描网上电脑开放的网络连接端。确定哪些服务运行在哪些连接端。官网https://nmap.org/sqlmap一个开源的渗透测试工具可以用来进行自动化检测利用 SQL 注入漏洞获取数据库服务器的权限。它具有功能强大的检测引擎,针对各种不同类型数据库的渗透测试的功能选项包括获取数据库中存储的数据访问操作系统文件甚至可以通过外带数据连接的方式执行操作系统命令。官方网站http://sqlmap.org/前面2个工具工作中最常用到一定要好好掌握