- 综合排序
- 最热优先
- 最新优先
- 来自专栏啄木鸟软件测试
软件安全性测试（连载3）
2 软件安全测试 2.1 XSS注入 XSS（Cross SiteScripting），由于与层叠样式表（CascadingStyle Sheets，CSS）的缩写混淆。因此一般缩写为XSS。 3）DOM型 XSS 在讲解DOM型 XSS前先简单介绍一下什么是DOM树。对于任何一个HTML网页都可以看作是从<html>标签到文本节点的一颗“树”，这颗“树”叫做DOM树。 3. XSS会话挟持 如果将上面XSS PayLoad的alert(/XSS/)改为alert(document.cookie)，看看会发现什么情形。代码如下。
1.1K31发布于 2019-12-12 - 来自专栏啄木鸟软件测试
WEB安全性测试
3、接口参数的边界值。例如，传递的参数足够大或为负数时，接口是否可以正常处理。 4、接口的性能，接口处理数据的时间也是测试的一个方法。牵扯到内部就是算法与代码的优化。 5、接口的安全性，如果是外部接口的话，这点尤为重要。 web接口测试又可分为两类：服务器接口测试和外部接口测试。 服务器接口测试：是测试浏览器与服务器的接口。 3、接口的安全性，一般web都不会暴露在网上任意被调用，需要做一些限制，比如鉴权或认证。 4、接口的性能，web接口同样注重性能，这直接影响用户的使用体验。 3.XML和JSON的优缺点对比 (1).可读性方面。 (3).编码难度方面。
2.2K40发布于 2019-12-11 - 来自专栏只喝牛奶的杀手
Web安全性测试介绍
安全性测试主要是指利用安全性测试技术，在产品没有正式发布前找到潜在漏洞。找到漏洞后，需要把这些漏洞进行修复，避免这些潜在的漏洞被非法用户发现并利用。 具体来说，安全性测试主要包括以下几个部分内容： 认证与授权 Session与Cookie DDOS拒绝服务攻击 文件上传漏洞 XSS跨站攻击 SQL注入 认证与授权 尽量避免未被授权的页面可以直接访问 常规的防御方法： 1）确保服务器的系统文件是最新的版本，并及时更新系统补丁； 2）关闭不必要的服务； 3）限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量 3. 通过修改扩展名的方式是否可以绕过格式限制，是否可以通过压包方式绕过格式限制。 4. SQL注入的方法措施： 从测试人员角度来说，在需求阶段时，我们就应该有意识的将安全性检查应用到需求测试。
2K20发布于 2019-09-02 - 来自专栏搜狗测试
Web安全性测试介绍
安全性测试主要是指利用安全性测试技术，在产品没有正式发布前找到潜在漏洞。找到漏洞后，需要把这些漏洞进行修复，避免这些潜在的漏洞被非法用户发现并利用。 具体来说，安全性测试主要包括以下几个部分内容： 认证与授权 Session与Cookie DDOS拒绝服务攻击 文件上传漏洞 XSS跨站攻击 SQL注入 认证与授权 尽量避免未被授权的页面可以直接访问 常规的防御方法： 1）确保服务器的系统文件是最新的版本，并及时更新系统补丁； 2）关闭不必要的服务； 3）限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量 3. 通过修改扩展名的方式是否可以绕过格式限制，是否可以通过压包方式绕过格式限制。 4. SQL注入的方法措施： 从测试人员角度来说，在需求阶段时，我们就应该有意识的将安全性检查应用到需求测试。
1.4K50发布于 2019-06-01 - 来自专栏啄木鸟软件测试
软件安全性测试（连载4）
XSS测试方法 1）容易出现XSS注入的地方 XSS测试就是在容易出现XSS注入的地方输入被测代码，提交后观察其显示是否会触发JavaScript脚本。 常用的XSS测试JavaScript脚本主要就下面两个。 onerror=alert(/XSS/) /> l显示注入：<script>alert(document.cookie)</script> 当然也要考虑与原有代码的上下文，通过一些符号屏蔽源代码，具体参见3所示 3 容易出现XSS注入的地方 页面中容易出现的地方JavaScript输出的地方JavaScript输入的地方HTTP请求参数document.write()Windows.location(href， 3）测试技巧 下面来介绍几个XSS注入的测试技巧。 ①绕过长度 见下面代码。
1.1K20发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载17）
顾翔老师的《软件测试技术实战设计、工具及管理》网上购买地址： https://item.jd.com/34295655089.html 《基于Django的电子商务网站》网上购买地址： https:// page=home" target="_blank">测试之家 访问index.php，显示home.php，点击任意一个超级链接，显示如下内容。 3．文件包含漏洞测试方法 有效测试文件包含漏洞的方法是静态扫描和代码审查。 另外也可以借助类似BurnSuite工具来进行文件包含漏洞的测试。 4．文件包含漏洞防护方法 文件包含漏洞的防护可以总结为以下几点。 l确保外部包含是不能被用户控制的。 顾翔老师与云测学院联合推出：软件测试分析与设计，请点击https://v.youku.com/v_show/id_XNDQ3MzkyNjk3Ng==.html?
87010发布于 2020-01-17 - 来自专栏啄木鸟软件测试
软件安全性测试（连载26）
5 本章总结 5.1 介绍内容 •软件安全知识概要 Ø软件安全分类 Ø软件安全性与便捷性 Ø白帽子黑客、黑帽子黑客 Ø白帽子兵法 u默认规则 u纵深防御原则（Defense in Depth） u数据与代码分离原则 u CSRF防护方法 Ø点击劫持 ØHTML5的安全 u
89220发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载21）
SSL（Transport Layer Security）安全套接字层协议，TLS传输层安全性。SSL有v1.0、v2.0、v3.0和v3.1 4个版本号，其中仅有v3.1版本是安全的。 TLS （Transport Layer Security）有v1.0、v1.1、v1.2 3个版本号。SSL v3.1与TLS v1.0是等效的。 下面从安全服务设计、服务端安全证书配置和服务器协议和密码设置来进行讨论基于HTTPS协议的安全性。 1）安全服务设计 l 在任何地方都要使用SSL/TLS进行安全传输。包括内部网络和外部网络。 3）服务器协议和密码设置 l 仅支持强协议，就SSL/TSL而言。 Ø 不要使用SSLv1~SSLv3，因为已经发现这三个版本存在缺陷。 以上的测试点并不是很全面，建议读者在自己团队里采取头脑风暴的形式找到更多的测试点。
2K10发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载7）
1840px; height:900px; position: absolute; top: -0px; left: -0px; z-index: 3; 0.1; filter: alpha(opacity=0); } .btn { display: inline-block; padding: 2px 3px
90410发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载6）
="id_password">
<input type= "submit" value= "提交" requiredid="id_password"> </form> 对这个代码建立对应的接口测试代码 3. CSRF注入测试方法 CSRF注入可以用CSRFTester工具进行测试，详细请参见本书下篇6.2.1节。 4. 14 CSRF Token在前后端分离中的解决方案 2）其他方法 但是这个方法是防君子不防小人的，有经验的工程师可以构造接口测试代码，将cooiles的值与hidden中的值设置为一样的，然后提交，可以通过假 self.discorrectpassword="000000" self.url="http://127.0.0.1:8000/login_action/" self.token= "RNF3Y04qFeJkMwCDsTMn4gfMcyfQ2vUjXbcENLADEFyCSRp1pBdezZKwHhlSwqgE1.1K20发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载18）
2）测试方法 获取另一个用户的可能存在水平越权的URL，以自己的身份登录，在浏览器URL中输入获取的URL，验证是否真正存在水平越权。 3）防护方法 在程序中做好水平越权控制，见如下代码。 2）测试方法 获取高级权限用户的可能存在垂直越权的URL，以自己的身份登录，在浏览器URL中输入获取的URL，验证是否真正存在垂直越权。 3）防护方法 在程序中做好垂直越权控制，见如下代码。 这时候她在数量输入框中输入-3，由于程序在前后端都没有对数量输入进行校验，这样就产生了支付漏洞，此时库存变为19-(-3)=22件，余额为70-(-3×30)=160元。 比如一个登录系统，如果一天内某个账号连续3次登录失败，只能到第二天才可以重新登录。3次失败登录到第二天账户处于封锁状态。对于安全而言，这样的做法是有一定好处的。 系统发送到后端，验证输入的手机是不是当前用户注册的手机，验证通过给手机13687698766发送PIN码，然后进入第3个页面，在第3个页面，点击重新发送链接，黑客通过截包工具截获，把13687698766
1K20发布于 2020-02-13 - 来自专栏啄木鸟软件测试
软件安全性测试（连载22）
图4-51 新浪博客，一小时内最多只能发表博文10篇 •方法3。使用验证码。 测试人员也可以通过编写自动化功能测试脚本，基于GUI的或者基于接口的都可以（第9章将进行详细介绍），利用循环语句来测试代码是否对DDOS攻击做好防范。 self.assertIn("电子商务系统" ,str(data.text)) if __name__=='__main__': #构造测试集 图4-52 网页跳转产生的3XX响应包 ②服务器端跳转 服务器端跳转URL不会变化，但是仍旧会返回响应码为3XX的响应包。 通过对第2.4-3节的学习，知道如果把标签中加入rel="noopenernoreferrer"属性，即。
1K30发布于 2020-02-19 - 来自专栏云原生技术社区
Kubernetes集群的安全性测试
本文探讨了Kubernetes集群安全性测试的重要方面，强调了在当前情景下其重要性。 我们探讨了不同的安全性测试方法，包括静态分析安全性测试（SAST）、动态应用程序安全性测试（DAST）、容器镜像扫描、Kubernetes配置审计和网络策略测试。 理解安全性测试 安全性测试是软件开发生命周期中的重要步骤，旨在发现和解决应用程序或系统内潜在的漏洞、威胁和风险。 3. 检查测试运行结果，并及时解决识别出的任何问题，以减小风险暴露。 制定代表不同威胁场景的测试用例，基于您的应用程序架构和风险概况。 2. 使用诸如Cilium CLI或CalicoCTL之类的工具，根据定义的规则集在Pod之间发送数据包来模拟这些场景。 3.
94320编辑于 2023-09-07 - 来自专栏啄木鸟软件测试
软件安全性测试（连载19）
37 对称加密过程 这里明文为数字，加密算法与解密算法互为逆运算（×和÷），加解密密钥均为3。一般而言加密密钥为私有的，而解密密钥为共有的，由于对称加密加解密密钥相同，所以安全性是比较差的。 ECDSA椭圆曲线指的是满足表达式y2=x3+ax+b，且这里-16(4a3+27b2)≠0。假设a=-1,b=+1,这是表达式y2=x3+ax+b变为y2=x3-x+1。 ) 因此区块链的椭圆函数为y2=x3+7，如44所示。 以下是区块链测试的重点。 l 转账，向单/多签名地址转账，向脚本转账。 l 如果对币的机制有修改，需要进行双花攻击测试。（双花攻击又称51%攻击，因某个矿工或者矿池将一个加密货币多次支付而得名。 通常，其目的并不仅是为了重复使用加密货币，而是为了攻击某个区块链网路，破坏它安全性，让它失去人们的信任。） l 智能合约功能及安全测试。 l 打包及交易确认效率。 对于区块链性能测试的考虑点。
98820发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载1）
1.1软件安全分类 软件安全性包括软件功能安全性和软件信息安全性。软件功能安全性是指当软件发生故障的时候，会自动切换到安全模式。 ，但是安全性肯定比前者高更多。 又如前几年为了让网页方便挂条幅，出现带P3P的cookie，但是这个技术给黑客钓鱼带来了便利，后来这个技术不得不被业界淘汰。但是既考虑到安全性又考虑到便捷性的技术不是不存在的，而是比较少。 ? 3是XXE漏洞防护方法图。 ? 2 核安全纵深防御措施 ? 3 XXE漏洞纵深防护方法 3. 数据与代码分离原则 数据与代码分离，一方面从安全角度来考虑、另一方面从可维护性角度考虑。 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net 顾翔凡言： 图是软件项目三角形
1.1K10发布于 2019-12-11 - 来自专栏啄木鸟软件测试
软件安全性测试（连载10）
3. MySQL数据库特性 1）MySQL数据库注释 MySQL数据库注释如下。 l#：注释从'#'到行位。 l--：注释从'--'序列到行位。 l/**/：注释/*序列到后面*/序列之间的字符。 id=3存在SQL注入漏洞。页面显示3号用户的用户信息。猜测是否存在一个表名为person，用http://www.domain.com/sec/21/jsp/index.jsp? id=3 union all select 1,2,3 from person刺探，这是页面出现500 error，说明不存在person这个表，然后根据经验采用各种名称，当猜测表名可能为user，用http id=3union all select 1,2,3 from user刺探，没有出现错误信息，且出现了一堆如25一堆“用户名：2，密码：3”信息，说明当前表名为user。 ? select 1,load_file('/etc/passwd'),3, 4, 5, 6 通过这个语句，可以读取Linix目录中/etc/passwd文件。
1.3K20发布于 2019-12-26 - 来自专栏啄木鸟软件测试
软件安全性测试（连载20）
3）凭证存储 凭证包括密码，问题的答案以及其他信息，安全存储凭证也是非常重要的。 ①对凭证的字符集与长度的考虑。 username password Jerry 788924a201b9d72956d7881fda20236a1e2346a6f837ab9003f55d8f01dd3ded 788924a201b9d72956d7881fda20236a1e2346a6f837ab9003f55d8f01dd3ded 3. 会话管理安全 HTTP(S)协议是无状态的，这是受当初建立这个协议的情况而造成的。 2017年3月8日Google验证SHA-1存在碰撞攻击漏洞）。 2）sessionID注意事项 使用sessionID需要注意以下四点。 3）session过期处理 session的过期分为自动过期和手动过期。 ① session自动过期 自动过期又分为空闲过期、绝对过期和更新过期。
1.1K10发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载2）
3）接收方接收发送方发送过来的密文。 4）接收方接收过来的密文通过解密函数和解密密钥进行解密操作，还原数据。 如果一个加密算法在第3）步没有合适的算法，这个加密过程是不可逆的，否则是可逆的。 ://www.3testing.com/dir/1.html 不同源 不同协议 http://www.3testing.com:81/dir/1.html 不同源 不同端口 http://test.3testing.com l http://www.3testing.com/dir1/1.html与http://test.3testing.com/dir/1.html不同源的原因是主机不同，一个是www.3testing.com www.mydomain.com/hello.js">
1.8 HTTP协议简介 由于本章主要介绍基于WEB的安全测试知识 3.
95440发布于 2019-12-12 - 来自专栏啄木鸟软件测试
软件安全性测试（连载24）
3 APP安全测试概要 2016 OWASPMobile TOP 10排名如下。 •不当的平台使用。 •不安全的数据存储。 •不安全的通信。 •不安全的身份验证。 •加密不足。 •不安全的授权。 这里介绍一下“逆向工程-反编译测试”“键盘劫持”和“信息泄露”。 3.1逆向工程-反编译测试 对于安卓源代码是Java文件，正向编译过程是把.java->.jar->.apk。 3. 安卓应用数据备份 在安卓的AndroidManifest.xml中。
1.2K20发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载25）
4 安全测试流程 做安全测试的时候，首先请把白盒测试和黑盒测试遗忘掉，因为大部分安全测试是基于白盒测试和白盒测试与黑盒测试之间的灰盒测试。Web安全测试与其他测试一样，应该贯穿于软件开发始终。 案例4-10 电子商务系统的安全测试流程 电子商务系统参见附录A。 4.1 需求阶段 在需求阶段，需要做如下工作。 •根据产品类型评价安全性级别。 •确定各功能的安全性优先等级。 •分析可能存在何种安全性问题。 1. 根据产品类型评价安全性级别 根据《XXX公司安全界别评定规则》，电子商务网站属于II级。 2. 确定各功能的安全性优先等级 根据讨论，电子商务各大模块的安全优先级如下。 •第1级。支付模块。 •第2级。用户模块。 •第3级。订单模块。 •第4级。收货地址模块。 •第5级。 3. 分析可能存在何种安全性问题 根据讨论，电子商务产品可能存在以下安全漏洞。 •XSS注入。 •CSRF注入。 •点击劫持。 •HTML5安全。 •安全响应头。 •SQL注入。 •XML代码注入。
1.1K20发布于 2020-02-19
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号