- 综合排序
- 最热优先
- 最新优先
- 来自专栏啄木鸟软件测试
WEB安全性测试
接口测试 接口测试是测试系统组件间接口的一种测试。接口测试主要用于检测外部系统与系统之间以及内部各个子系统之间的交互点。 4、接口的性能，接口处理数据的时间也是测试的一个方法。牵扯到内部就是算法与代码的优化。 5、接口的安全性，如果是外部接口的话，这点尤为重要。 web接口测试又可分为两类：服务器接口测试和外部接口测试。 服务器接口测试：是测试浏览器与服务器的接口。 3、接口的安全性，一般web都不会暴露在网上任意被调用，需要做一些限制，比如鉴权或认证。 4、接口的性能，web接口同样注重性能，这直接影响用户的使用体验。 (5).流行度方面。 XML已经被业界广泛的使用，而JSON才刚刚开始，但是在Ajax这个特定的领域，未来的发展一定是XML让位于JSON。
2.2K40发布于 2019-12-11 - 来自专栏只喝牛奶的杀手
Web安全性测试介绍
安全性测试主要是指利用安全性测试技术，在产品没有正式发布前找到潜在漏洞。找到漏洞后，需要把这些漏洞进行修复，避免这些潜在的漏洞被非法用户发现并利用。 具体来说，安全性测试主要包括以下几个部分内容： 认证与授权 Session与Cookie DDOS拒绝服务攻击 文件上传漏洞 XSS跨站攻击 SQL注入 认证与授权 尽量避免未被授权的页面可以直接访问 确保服务器的系统文件是最新的版本，并及时更新系统补丁； 2）关闭不必要的服务； 3）限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量； 4）正确设置防火墙； 5） 5. 上传文件大小大于本地剩余空间大小，是否会出现异常错误。 6. 关于上传是否成功的判断。上传过程中，中断，程序是否判断上传是否成功。 7. SQL注入的方法措施： 从测试人员角度来说，在需求阶段时，我们就应该有意识的将安全性检查应用到需求测试。
2K20发布于 2019-09-02 - 来自专栏搜狗测试
Web安全性测试介绍
安全性测试主要是指利用安全性测试技术，在产品没有正式发布前找到潜在漏洞。找到漏洞后，需要把这些漏洞进行修复，避免这些潜在的漏洞被非法用户发现并利用。 具体来说，安全性测试主要包括以下几个部分内容： 认证与授权 Session与Cookie DDOS拒绝服务攻击 文件上传漏洞 XSS跨站攻击 SQL注入 认证与授权 尽量避免未被授权的页面可以直接访问 确保服务器的系统文件是最新的版本，并及时更新系统补丁； 2）关闭不必要的服务； 3）限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量； 4）正确设置防火墙； 5） 5. 上传文件大小大于本地剩余空间大小，是否会出现异常错误。 6. 关于上传是否成功的判断。上传过程中，中断，程序是否判断上传是否成功。 7. SQL注入的方法措施： 从测试人员角度来说，在需求阶段时，我们就应该有意识的将安全性检查应用到需求测试。
1.3K50发布于 2019-06-01 - 来自专栏啄木鸟软件测试
软件安全性测试（连载26）
5 本章总结 5.1 介绍内容 •软件安全知识概要 Ø软件安全分类 Ø软件安全性与便捷性 Ø白帽子黑客、黑帽子黑客 Ø白帽子兵法 u默认规则 u纵深防御原则（Defense in Depth） u数据与代码分离原则 u CSRF防护方法 Ø点击劫持 ØHTML5的安全 u
87820发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载17）
0==>赤 1==>橙 2==>黄 3==>绿 4==>青 5==>蓝 6==>紫 这是文件包含的最基本用法。 :/var/www/php5/lib/php') in/data/home/byu4550520001/htdocs/sec/index1.php on line 2 由于可见www.3testing.com page=home" target="_blank">测试之家 访问index.php，显示home.php，点击任意一个超级链接，显示如下内容。 3．文件包含漏洞测试方法 有效测试文件包含漏洞的方法是静态扫描和代码审查。 顾翔老师与云测学院联合推出：软件测试分析与设计，请点击https://v.youku.com/v_show/id_XNDQ3MzkyNjk3Ng==.html?
86210发布于 2020-01-17 - 来自专栏啄木鸟软件测试
软件安全性测试（连载4）
5. XSS测试方法 1）容易出现XSS注入的地方 XSS测试就是在容易出现XSS注入的地方输入被测代码，提交后观察其显示是否会触发JavaScript脚本。 常用的XSS测试JavaScript脚本主要就下面两个。 window.attachEvent()…留言板document.location.replace() 评论区document.location.assign() 用户信息… … 2）关于富文本的测试 3）测试技巧 下面来介绍几个XSS注入的测试技巧。 ①绕过长度 见下面代码。 Sys.safari = s[1] : 0; //以下进行测试 if (Sys.ie) document.write('IE: ' +Sys.ie); if (Sys.firefox
1.1K20发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载6）
id=5">删除 显式链接 <imgscr=http://www.mydomain.com/del_paper.jsp? id=5 width="0"height="0"> 均表示删除编号为5的文章。黑客可以通过Python的requests类编写接口代码进行攻击。 ="id_password">
<input type= "submit" value= "提交" requiredid="id_password"> </form> 对这个代码建立对应的接口测试代码 CSRF注入测试方法 CSRF注入可以用CSRFTester工具进行测试，详细请参见本书下篇6.2.1节。 4. 14 CSRF Token在前后端分离中的解决方案 2）其他方法 但是这个方法是防君子不防小人的，有经验的工程师可以构造接口测试代码，将cooiles的值与hidden中的值设置为一样的，然后提交，可以通过假1K20发布于 2019-12-23 - 来自专栏啄木鸟软件测试
软件安全性测试（连载21）
SSL（Transport Layer Security）安全套接字层协议，TLS传输层安全性。SSL有v1.0、v2.0、v3.0和v3.1 4个版本号，其中仅有v3.1版本是安全的。 支持SSL协议的服务器包括： Tomcat 5.x、Nginx、IIS、 Apache 2.x、IBM HTTP SERVER 6.0等。 下面从安全服务设计、服务端安全证书配置和服务器协议和密码设置来进行讨论基于HTTPS协议的安全性。 1）安全服务设计 l 在任何地方都要使用SSL/TLS进行安全传输。包括内部网络和外部网络。 仅适用支持sill机制的加密库，比如OpenSSL 5. 案例 案例4-7 用户登录页面安全用例设计 用户登录页面如48所示，下面是安全测试的测试点。 ? 以上的测试点并不是很全面，建议读者在自己团队里采取头脑风暴的形式找到更多的测试点。
2K10发布于 2020-02-19 - 来自专栏啄木鸟软件测试
软件安全性测试（连载18）
1）案例 案例4-5 水平越权 电子商务系统，A用户删除自己配货地址的URL为http://www.mydomain.com/delete_address? 2）测试方法 获取另一个用户的可能存在水平越权的URL，以自己的身份登录，在浏览器URL中输入获取的URL，验证是否真正存在水平越权。 3）防护方法 在程序中做好水平越权控制，见如下代码。 2）测试方法 获取高级权限用户的可能存在垂直越权的URL，以自己的身份登录，在浏览器URL中输入获取的URL，验证是否真正存在垂直越权。 3）防护方法 在程序中做好垂直越权控制，见如下代码。 5. 密码找回 现在密码无处不在，为了保护自己的密码，一个人手头可能具有多个密码，所以找回密码成为大部分网站提供的功能。通过注册手机找回密码的流程如34所示。
99420发布于 2020-02-13 - 来自专栏啄木鸟软件测试
软件安全性测试（连载7）
: 0 auto; margin-top: 220px } </style> </head> <body>
<inputtype="hidden" value="<em>5</em>号选手 console.log('哈哈，谢谢你偷偷帮我投票～') }) </script> </body> </html> 在index.html里嵌入了一张图片和一个iframe，一个专门给<em>5</em>号选手投票的页面 （估计黑客就是<em>5</em>号选手）的iframe，命名为iframe.html。 16 index.html中嵌入iframe的效果 当用户在点击热气球的时候，其实帮<em>5</em>号选手投了票。 由此可见点击挟持首次出现在2008年，是由互联网安全专家罗伯特·汉森和耶利米·格劳斯曼首创的。89410发布于 2019-12-23来自专栏啄木鸟软件测试软件安全性测试（连载22）
测试人员也可以通过编写自动化功能测试脚本，基于GUI的或者基于接口的都可以（第9章将进行详细介绍），利用循环语句来测试代码是否对DDOS攻击做好防范。 self.assertIn("电子商务系统" ,str(data.text)) if __name__=='__main__': #构造测试集 unittest.TestSuite() suite.addTest(login("test_correctusername_correctpassword")) #运行测试集合
1K30发布于 2020-02-19来自专栏啄木鸟软件测试软件安全性测试（连载19）
一般而言加密密钥为私有的，而解密密钥为共有的，由于对称加密加解密密钥相同，所以安全性是比较差的。38是一个非对称加密过程。 ? 常见的HASH函数有MD4、MD5、SHA-1和SHA-256。由于HASH函数对于任意的输入产生一个固定长度的字符串，所以必定存在两个不同的输入得到相同的HASH值，这个叫做HASH碰撞。 现在发现MD4、MD5、SHA-1都存在高概率的HASH碰撞，而SHA-256概率很低，所以目前为止使用最安全的散列函数为SHA-256，这也就是为什么区块链采用SHA-256的原因。 以下是区块链测试的重点。 l 转账，向单/多签名地址转账，向脚本转账。 l 如果对币的机制有修改，需要进行双花攻击测试。（双花攻击又称51%攻击，因某个矿工或者矿池将一个加密货币多次支付而得名。 通常，其目的并不仅是为了重复使用加密货币，而是为了攻击某个区块链网路，破坏它安全性，让它失去人们的信任。） l 智能合约功能及安全测试。 l 打包及交易确认效率。 对于区块链性能测试的考虑点。
97620发布于 2020-02-19来自专栏云原生技术社区Kubernetes集群的安全性测试
本文探讨了Kubernetes集群安全性测试的重要方面，强调了在当前情景下其重要性。 我们探讨了不同的安全性测试方法，包括静态分析安全性测试（SAST）、动态应用程序安全性测试（DAST）、容器镜像扫描、Kubernetes配置审计和网络策略测试。 理解安全性测试 安全性测试是软件开发生命周期中的重要步骤，旨在发现和解决应用程序或系统内潜在的漏洞、威胁和风险。 静态分析安全测试（SAST） 静态分析安全测试（SAST），也称为白盒测试或源代码分析，检查应用程序的源代码或编译后的二进制文件，而不执行它。 确保Kubernetes集群的安全性是一个持续的过程，将这些方法纳入您的CI/CD流程将帮助您构建一个弹性、安全的基础架构。
93220编辑于 2023-09-07来自专栏啄木鸟软件测试软件安全性测试（连载1）
1.1软件安全分类 软件安全性包括软件功能安全性和软件信息安全性。软件功能安全性是指当软件发生故障的时候，会自动切换到安全模式。 软件信息安全性是保证软件信息不被泄露，不被篡改。由于软件功能安全性仅在嵌入式高安全软件下比较常见，所以本章经介绍软件信息安全，且基本局限在WEB软件安全。 ，但是安全性肯定比前者高更多。 软件也一样，在某种程度上安全性与便捷性存在一定的矛盾性。 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net 顾翔凡言： 图是软件项目三角形
1.1K10发布于 2019-12-11来自专栏啄木鸟软件测试软件安全性测试（连载10）
5555 | jerry | | 5555 | cindy | | 5555 | linda | | 5555 | susan | | 5555 | peter | +------+-------+ 5 1 | jerry |654321 | | 2 | cindy |123456 | | 3 | linda |knyzh158 | | 4 | susan |qwert | | 5 提供了load_file()函数用来读文件，Into outfile()函数用来写文件 读文件： ...union select 1,load_file('/etc/passwd'),3, 4, 5, ...unionselect1,load_file(0x2F6563742F706173737764),3,4,5,6 0x2F6563742F706173737764为'/etc/passwd'十六进制格式 5）长度折断 下面这条语句往user表中插入了一个系统管理员admin的账户,是通过正常手段生成的。
1.2K20发布于 2019-12-26来自专栏啄木鸟软件测试软件安全性测试（连载20）
2）忘记密码后需要采取的措施 正如第2.13-5 密码节找回所述，由于密码的复杂性，几乎所有的系统都提供密码找回功能，除了第2.13-5 密码节讲述的注意事项外，还需要掌握哪些事项呢，在这里作进一步的介绍 username password Jerry isabell l 散列函数加密存储时代：散列函数，比如MD5 或SHA-256。 Jerry b66ee6cc4a06112cb18891f12d52ce1455e6719b51dc6f34a4147d27f4bfa728 l 加盐存储时代：对密码与盐值字符串之和采用MD5或SHA ④ sessionID的值 sessionID的值不要包括敏感信息，并且使用SHA-256散列函数来进行加密（现在有实验表明MD5与SHA-1散列函数都是不安全的。 对于MD5虽然是一种不可逆的加密方法，但是可以通过类似彩虹表rainbowcrack的工具破解。2017年3月8日Google验证SHA-1存在碰撞攻击漏洞）。
1.1K10发布于 2020-02-19来自专栏啄木鸟软件测试软件安全性测试（连载2）
MD5是常用的不可逆的加密算法。但是并不可以说不可逆的算法是不可以破解的，比如MD5算法可以通过“彩虹表”软件来进行破解。 2. l A5:2017-失效的访问控制。 l A6:2017-安全配置错误。 l A7:2017-跨站脚本（XSS）。 l A8:2017-不安全的反序列化 l A9:2017-使用含有已知漏洞的组件。 www.mydomain.com/hello.js">
1.8 HTTP协议简介 由于本章主要介绍基于WEB的安全测试知识 HTTP协议包 5是一个HTTP协议包。 ? 5 HTTP协议包 它包括一个起始行、一到多个头域、一个结束头域的空行(CTRL+)以及一个消息实体（根据情况可能不存在）。 指示信息---表示接收到请求，继续进程 2XX 成功---表示请求已被成功接收、理解和接受 3XX 重定向---要完成请求必须进行更进一步的操作 4XX 客户端错误---请求有语法错误或者无法实现 5XX
94340发布于 2019-12-12来自专栏啄木鸟软件测试软件安全性测试（连载23）
01-00-5e-00-00-16 静态 224.0.0.251 01-00-5e-00-00-fb 静态 224.0.0.252 -00-00-02 静态 224.0.0.22 01-00-5e-00-00-16 静态 224.0.0.251 01-00-5e-00-00 -fb 静态 224.0.0.252 01-00-5e-00-00-fc 静态 239.255.255.250 01-00-5e-7f-ff-fa Cache-Control 浏览器或代理缓存机制（参照第2.14-3节） 检测网站是否使用安全响应头的工具有基于Python2.X的hsecscan和在线测试网站https://cyh.herokuapp.com 利用第11.1.1-4节 Burp Suite工具中的测试器（Intruder）功能进行暴力破解。 防止暴力破解可以采用账户锁定、封锁多次登录的IP地址和验证码等手段。 3.
1.1K20发布于 2020-02-19来自专栏啄木鸟软件测试软件安全性测试（连载3）
2 软件安全测试 2.1 XSS注入 XSS（Cross SiteScripting），由于与层叠样式表（CascadingStyle Sheets，CSS）的缩写混淆。因此一般缩写为XSS。
1.1K31发布于 2019-12-12
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号