一个安全测试的CheckList
来源:互联网 发布:惠普m203打印机端口 编辑:程序博客网 时间:2024/05/13 00:16
1. 不登录系统,直接输入登录后的页面的URL是否可以访问;
2. 不登录系统,直接输入下载文件的URL是否可以下载文件;
如输入:http://url/download?name=file是否可以下载文件file
3. 退出登录后,后退按钮能否访问之前的页面;
4. ID/密码验证方式中能否使用简单密码;
如密码标准为6位以上,字母和数字的组合,不包含ID,连接的字母或数字不能超过n位
5. ID/密码验证方式中,同一个帐号在不同的机器上不同时登录
6. ID/密码验证方式中,连续数次输入错误密码后该帐户是否被锁定
7. 重要信息(如密码,身份证,信用卡号等)在输入或者查询时是否明文显示;
在浏览器地址栏中输入命令javascript:alert(doucument.cookie)时是否有重要信息;
在html源码中能否看到重要信息;
8. 手动更改URL中的参数值能否访问没有权限访问的页面。
如普通用户对应的URL中的参数为l=e,高级用户对应的URL中的参数为l=s,以普通用户的身份登录系统后将URL中的参数e改为s来访问没有权限访问的页面
9. URL里不可修改的参数是否可以被修改;
10. 上传与服务器端语言(jsp,asp,php)一样扩展名的文件或exe等可执行文件后,确认在服务器端是否可直接运行
11. 注册用户时是否可以以‘--’or1=1—等做为用户名
12. 传送给服务器的参数(如查询关键字,URL中的参数等)中包含特殊字符(‘.’and1=1--.‘and1=0--.’.‘or 1=0--)时是否可以正常处理
13. 执行新增操作时,在所有的输入框中输入脚本标签(<script>alert(“”)</script>)后能否保存;
14. 新增或修改重要信息(密码,身份证号码,信用卡号等)时是否有自动完成功能
(在form标签中使用autocomplete=0来关闭自动完成功能)
15. 在URL中输入下面的地址是否可以下载
http://url/download.jsp?file=c:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/password
16. 是否对session的有效期进行处理
17. 错误信息中是否含有SQL语句,SQL错误信息以及web服务器的绝对路径的等
转载:http://www.cnblogs.com/hackchecker/archive/2011/10/16/2214435.html
- 一个安全测试的checklist
- 一个安全测试的CheckList
- 一个安全测试的CheckList
- 一个安全测试的checklist
- 安全测试checklist
- 安全测试 Checklist
- 安全测试---checklist
- 软件测试之一个安全测试的checklist
- 制作安全网站的checklist
- 制作安全网站的checklist
- 制作安全网站的checklist
- 一个项目经历的CheckList 。。。。。。。。。
- 测试CheckList
- 界面测试CheckList 注意的几点
- Android数据输入测试的checklist
- 界面测试CheckList
- 界面测试CheckList .
- Web测试Checklist
- Android ViewPager动态加载数据
- js弹窗组件
- Java性能优化技巧
- 【javascript】JS常用正则表达式
- TextView显示带图片html的几种处理方式
- 一个安全测试的CheckList
- VisionMobile:电信运营商创新工具箱(十三)第十一章 结束语
- 【PPA2】简介
- 可视化html编辑器
- 电脑开机报警嘟嘟声详解
- eclipse内存溢出报错:java.lang.OutOfMemoryError:Java heap space
- jquery扩展程序,不定期更新
- http://yiranvv.i.sohu.com/blog/view/252461314.htm
- Mac/iOS平台SVN不识别"@"的处理方式