- 综合排序
- 最热优先
- 最新优先
- 来自专栏啄木鸟软件测试
软件安全性测试（连载3）
2 软件安全测试 2.1 XSS注入 XSS（Cross SiteScripting），由于与层叠样式表（CascadingStyle Sheets，CSS）的缩写混淆。因此一般缩写为XSS。 3）DOM型 XSS 在讲解DOM型 XSS前先简单介绍一下什么是DOM树。对于任何一个HTML网页都可以看作是从<html>标签到文本节点的一颗“树”，这颗“树”叫做DOM树。 3. XSS会话挟持 如果将上面XSS PayLoad的alert(/XSS/)改为alert(document.cookie)，看看会发现什么情形。代码如下。
1K31发布于 2019-12-12 - 来自专栏啄木鸟软件测试
WEB安全性测试
3、接口参数的边界值。例如，传递的参数足够大或为负数时，接口是否可以正常处理。 4、接口的性能，接口处理数据的时间也是测试的一个方法。牵扯到内部就是算法与代码的优化。 5、接口的安全性，如果是外部接口的话，这点尤为重要。 web接口测试又可分为两类：服务器接口测试和外部接口测试。 服务器接口测试：是测试浏览器与服务器的接口。 3、接口的安全性，一般web都不会暴露在网上任意被调用，需要做一些限制，比如鉴权或认证。 4、接口的性能，web接口同样注重性能，这直接影响用户的使用体验。 3.XML和JSON的优缺点对比 (1).可读性方面。 (3).编码难度方面。
2.1K40发布于 2019-12-11 - 来自专栏只喝牛奶的杀手
Web安全性测试介绍
安全性测试主要是指利用安全性测试技术，在产品没有正式发布前找到潜在漏洞。找到漏洞后，需要把这些漏洞进行修复，避免这些潜在的漏洞被非法用户发现并利用。 具体来说，安全性测试主要包括以下几个部分内容： 认证与授权 Session与Cookie DDOS拒绝服务攻击 文件上传漏洞 XSS跨站攻击 SQL注入 认证与授权 尽量避免未被授权的页面可以直接访问 常规的防御方法： 1）确保服务器的系统文件是最新的版本，并及时更新系统补丁； 2）关闭不必要的服务； 3）限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量 3. 通过修改扩展名的方式是否可以绕过格式限制，是否可以通过压包方式绕过格式限制。 4. SQL注入的方法措施： 从测试人员角度来说，在需求阶段时，我们就应该有意识的将安全性检查应用到需求测试。
2K20发布于 2019-09-02 - 来自专栏搜狗测试
Web安全性测试介绍
安全性测试主要是指利用安全性测试技术，在产品没有正式发布前找到潜在漏洞。找到漏洞后，需要把这些漏洞进行修复，避免这些潜在的漏洞被非法用户发现并利用。 具体来说，安全性测试主要包括以下几个部分内容： 认证与授权 Session与Cookie DDOS拒绝服务攻击 文件上传漏洞 XSS跨站攻击 SQL注入 认证与授权 尽量避免未被授权的页面可以直接访问 常规的防御方法： 1）确保服务器的系统文件是最新的版本，并及时更新系统补丁； 2）关闭不必要的服务； 3）限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量 3. 通过修改扩展名的方式是否可以绕过格式限制，是否可以通过压包方式绕过格式限制。 4. SQL注入的方法措施： 从测试人员角度来说，在需求阶段时，我们就应该有意识的将安全性检查应用到需求测试。
1.3K50发布于 2019-06-01 - 来自专栏啄木鸟软件测试
软件安全性测试（连载26）
5 本章总结 5.1 介绍内容 •软件安全知识概要 Ø软件安全分类 Ø软件安全性与便捷性 Ø白帽子黑客、黑帽子黑客 Ø白帽子兵法 u默认规则 u纵深防御原则（Defense in Depth） u数据与代码分离原则 u CSRF防护方法 Ø点击劫持 ØHTML5的安全 u
81320发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载4）
XSS测试方法 1）容易出现XSS注入的地方 XSS测试就是在容易出现XSS注入的地方输入被测代码，提交后观察其显示是否会触发JavaScript脚本。 常用的XSS测试JavaScript脚本主要就下面两个。 onerror=alert(/XSS/) /> l显示注入：<script>alert(document.cookie)</script> 当然也要考虑与原有代码的上下文，通过一些符号屏蔽源代码，具体参见3所示 3 容易出现XSS注入的地方 页面中容易出现的地方JavaScript输出的地方JavaScript输入的地方HTTP请求参数document.write()Windows.location(href， 3）测试技巧 下面来介绍几个XSS注入的测试技巧。 ①绕过长度 见下面代码。
98220发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载17）
顾翔老师的《软件测试技术实战设计、工具及管理》网上购买地址： https://item.jd.com/34295655089.html 《基于Django的电子商务网站》网上购买地址： https:// page=home" target="_blank">测试之家 访问index.php，显示home.php，点击任意一个超级链接，显示如下内容。 3．文件包含漏洞测试方法 有效测试文件包含漏洞的方法是静态扫描和代码审查。 另外也可以借助类似BurnSuite工具来进行文件包含漏洞的测试。 4．文件包含漏洞防护方法 文件包含漏洞的防护可以总结为以下几点。 l确保外部包含是不能被用户控制的。 顾翔老师与云测学院联合推出：软件测试分析与设计，请点击https://v.youku.com/v_show/id_XNDQ3MzkyNjk3Ng==.html?
80610发布于 2020-01-17 - 来自专栏啄木鸟软件测试
软件安全性测试（连载21）
SSL（Transport Layer Security）安全套接字层协议，TLS传输层安全性。SSL有v1.0、v2.0、v3.0和v3.1 4个版本号，其中仅有v3.1版本是安全的。 TLS （Transport Layer Security）有v1.0、v1.1、v1.2 3个版本号。SSL v3.1与TLS v1.0是等效的。 下面从安全服务设计、服务端安全证书配置和服务器协议和密码设置来进行讨论基于HTTPS协议的安全性。 1）安全服务设计 l 在任何地方都要使用SSL/TLS进行安全传输。包括内部网络和外部网络。 3）服务器协议和密码设置 l 仅支持强协议，就SSL/TSL而言。 Ø 不要使用SSLv1~SSLv3，因为已经发现这三个版本存在缺陷。 以上的测试点并不是很全面，建议读者在自己团队里采取头脑风暴的形式找到更多的测试点。
1.9K10发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载6）
="id_password">
<input type= "submit" value= "提交" requiredid="id_password"> </form> 对这个代码建立对应的接口测试代码 3. CSRF注入测试方法 CSRF注入可以用CSRFTester工具进行测试，详细请参见本书下篇6.2.1节。 4. 14 CSRF Token在前后端分离中的解决方案 2）其他方法 但是这个方法是防君子不防小人的，有经验的工程师可以构造接口测试代码，将cooiles的值与hidden中的值设置为一样的，然后提交，可以通过假 self.discorrectpassword="000000" self.url="http://127.0.0.1:8000/login_action/" self.token= "RNF3Y04qFeJkMwCDsTMn4gfMcyfQ2vUjXbcENLADEFyCSRp1pBdezZKwHhlSwqgE97520发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载7）
1840px; height:900px; position: absolute; top: -0px; left: -0px; z-index: 3; 0.1; filter: alpha(opacity=0); } .btn { display: inline-block; padding: 2px 3px
82610发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载18）
2）测试方法 获取另一个用户的可能存在水平越权的URL，以自己的身份登录，在浏览器URL中输入获取的URL，验证是否真正存在水平越权。 3）防护方法 在程序中做好水平越权控制，见如下代码。 2）测试方法 获取高级权限用户的可能存在垂直越权的URL，以自己的身份登录，在浏览器URL中输入获取的URL，验证是否真正存在垂直越权。 3）防护方法 在程序中做好垂直越权控制，见如下代码。 这时候她在数量输入框中输入-3，由于程序在前后端都没有对数量输入进行校验，这样就产生了支付漏洞，此时库存变为19-(-3)=22件，余额为70-(-3×30)=160元。 比如一个登录系统，如果一天内某个账号连续3次登录失败，只能到第二天才可以重新登录。3次失败登录到第二天账户处于封锁状态。对于安全而言，这样的做法是有一定好处的。 系统发送到后端，验证输入的手机是不是当前用户注册的手机，验证通过给手机13687698766发送PIN码，然后进入第3个页面，在第3个页面，点击重新发送链接，黑客通过截包工具截获，把13687698766
92920发布于 2020-02-13 - 来自专栏啄木鸟软件测试
软件安全性测试（连载19）
37 对称加密过程 这里明文为数字，加密算法与解密算法互为逆运算（×和÷），加解密密钥均为3。一般而言加密密钥为私有的，而解密密钥为共有的，由于对称加密加解密密钥相同，所以安全性是比较差的。 ECDSA椭圆曲线指的是满足表达式y2=x3+ax+b，且这里-16(4a3+27b2)≠0。假设a=-1,b=+1,这是表达式y2=x3+ax+b变为y2=x3-x+1。 ) 因此区块链的椭圆函数为y2=x3+7，如44所示。 以下是区块链测试的重点。 l 转账，向单/多签名地址转账，向脚本转账。 l 如果对币的机制有修改，需要进行双花攻击测试。（双花攻击又称51%攻击，因某个矿工或者矿池将一个加密货币多次支付而得名。 通常，其目的并不仅是为了重复使用加密货币，而是为了攻击某个区块链网路，破坏它安全性，让它失去人们的信任。） l 智能合约功能及安全测试。 l 打包及交易确认效率。 对于区块链性能测试的考虑点。
91220发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载22）
图4-51 新浪博客，一小时内最多只能发表博文10篇 •方法3。使用验证码。 测试人员也可以通过编写自动化功能测试脚本，基于GUI的或者基于接口的都可以（第9章将进行详细介绍），利用循环语句来测试代码是否对DDOS攻击做好防范。 self.assertIn("电子商务系统" ,str(data.text)) if __name__=='__main__': #构造测试集 图4-52 网页跳转产生的3XX响应包 ②服务器端跳转 服务器端跳转URL不会变化，但是仍旧会返回响应码为3XX的响应包。 通过对第2.4-3节的学习，知道如果把标签中加入rel="noopenernoreferrer"属性，即。
97430发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载1）
1.1软件安全分类 软件安全性包括软件功能安全性和软件信息安全性。软件功能安全性是指当软件发生故障的时候，会自动切换到安全模式。 ，但是安全性肯定比前者高更多。 又如前几年为了让网页方便挂条幅，出现带P3P的cookie，但是这个技术给黑客钓鱼带来了便利，后来这个技术不得不被业界淘汰。但是既考虑到安全性又考虑到便捷性的技术不是不存在的，而是比较少。 ? 3是XXE漏洞防护方法图。 ? 2 核安全纵深防御措施 ? 3 XXE漏洞纵深防护方法 3. 数据与代码分离原则 数据与代码分离，一方面从安全角度来考虑、另一方面从可维护性角度考虑。 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net 顾翔凡言： 图是软件项目三角形
1K10发布于 2019-12-11 - 来自专栏云原生技术社区
Kubernetes集群的安全性测试
本文探讨了Kubernetes集群安全性测试的重要方面，强调了在当前情景下其重要性。 我们探讨了不同的安全性测试方法，包括静态分析安全性测试（SAST）、动态应用程序安全性测试（DAST）、容器镜像扫描、Kubernetes配置审计和网络策略测试。 理解安全性测试 安全性测试是软件开发生命周期中的重要步骤，旨在发现和解决应用程序或系统内潜在的漏洞、威胁和风险。 3. 检查测试运行结果，并及时解决识别出的任何问题，以减小风险暴露。 制定代表不同威胁场景的测试用例，基于您的应用程序架构和风险概况。 2. 使用诸如Cilium CLI或CalicoCTL之类的工具，根据定义的规则集在Pod之间发送数据包来模拟这些场景。 3.
77320编辑于 2023-09-07 - 来自专栏啄木鸟软件测试
软件安全性测试（连载10）
3. MySQL数据库特性 1）MySQL数据库注释 MySQL数据库注释如下。 l#：注释从'#'到行位。 l--：注释从'--'序列到行位。 l/**/：注释/*序列到后面*/序列之间的字符。 id=3存在SQL注入漏洞。页面显示3号用户的用户信息。猜测是否存在一个表名为person，用http://www.domain.com/sec/21/jsp/index.jsp? id=3 union all select 1,2,3 from person刺探，这是页面出现500 error，说明不存在person这个表，然后根据经验采用各种名称，当猜测表名可能为user，用http id=3union all select 1,2,3 from user刺探，没有出现错误信息，且出现了一堆如25一堆“用户名：2，密码：3”信息，说明当前表名为user。 ? select 1,load_file('/etc/passwd'),3, 4, 5, 6 通过这个语句，可以读取Linix目录中/etc/passwd文件。
1.2K20发布于 2019-12-26 - 来自专栏啄木鸟软件测试
软件安全性测试（连载20）
3）凭证存储 凭证包括密码，问题的答案以及其他信息，安全存储凭证也是非常重要的。 ①对凭证的字符集与长度的考虑。 username password Jerry 788924a201b9d72956d7881fda20236a1e2346a6f837ab9003f55d8f01dd3ded 788924a201b9d72956d7881fda20236a1e2346a6f837ab9003f55d8f01dd3ded 3. 会话管理安全 HTTP(S)协议是无状态的，这是受当初建立这个协议的情况而造成的。 2017年3月8日Google验证SHA-1存在碰撞攻击漏洞）。 2）sessionID注意事项 使用sessionID需要注意以下四点。 3）session过期处理 session的过期分为自动过期和手动过期。 ① session自动过期 自动过期又分为空闲过期、绝对过期和更新过期。
1K10发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载2）
3）接收方接收发送方发送过来的密文。 4）接收方接收过来的密文通过解密函数和解密密钥进行解密操作，还原数据。 如果一个加密算法在第3）步没有合适的算法，这个加密过程是不可逆的，否则是可逆的。 ://www.3testing.com/dir/1.html 不同源 不同协议 http://www.3testing.com:81/dir/1.html 不同源 不同端口 http://test.3testing.com l http://www.3testing.com/dir1/1.html与http://test.3testing.com/dir/1.html不同源的原因是主机不同，一个是www.3testing.com www.mydomain.com/hello.js">
1.8 HTTP协议简介 由于本章主要介绍基于WEB的安全测试知识 3.
87440发布于 2019-12-12 - 来自专栏啄木鸟软件测试
软件安全性测试（连载8）
1.1K20发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载15）
顾翔老师的《软件测试技术实战设计、工具及管理》网上购买地址： https://item.jd.com/34295655089.html 《基于Django的电子商务网站》网上购买地址： https:// 3）通过preg_replace()、ob_start()、array_map()函数执行命令 l preg_replace()：执行一个正则表达式的搜索和替换。 php $arr = $_GET['arr']; $array = array(1,2,3,4,5); $new_array =array_map($arr,$array); ? 3. 顾翔老师与云测学院联合推出：软件测试分析与设计，请点击https://v.youku.com/v_show/id_XNDQ3MzkyNjk3Ng==.html?
94070发布于 2020-01-17
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号