zoukankan      html  css  js  c++  java
  • 一个安全测试的CheckList

    1.        不登录系统,直接输入登录后的页面的URL是否可以访问;

    2.        不登录系统,直接输入下载文件的URL是否可以下载文件;

    如输入:http://url/download?name=file是否可以下载文件file

    3.        退出登录后,后退按钮能否访问之前的页面;

    4.        ID/密码验证方式中能否使用简单密码;

    如密码标准为6位以上,字母和数字的组合,不包含ID,连接的字母或数字不能超过n位

    5.        ID/密码验证方式中,同一个帐号在不同的机器上不同时登录

    6.        ID/密码验证方式中,连续数次输入错误密码后该帐户是否被锁定

    7.        重要信息(如密码,身份证,信用卡号等)在输入或者查询时是否明文显示;

    在浏览器地址栏中输入命令javascript:alert(doucument.cookie)时是否有重要信息;

    在html源码中能否看到重要信息;

    8.        手动更改URL中的参数值能否访问没有权限访问的页面。

    如普通用户对应的URL中的参数为l=e,高级用户对应的URL中的参数为l=s,以普通用户的身份登录系统后将URL中的参数e改为s来访问没有权限访问的页面

    9.        URL里不可修改的参数是否可以被修改;

    10.        上传与服务器端语言(jsp,asp,php)一样扩展名的文件或exe等可执行文件后,确认在服务器端是否可直接运行

    11.        注册用户时是否可以以‘--’or1=1—等做为用户名

    12.        传送给服务器的参数(如查询关键字,URL中的参数等)中包含特殊字符(‘.’and1=1--.‘and1=0--.’.‘or 1=0--)时是否可以正常处理

    13.        执行新增操作时,在所有的输入框中输入脚本标签(<script>alert(“”)</script>)后能否保存;

    14.        新增或修改重要信息(密码,身份证号码,信用卡号等)时是否有自动完成功能

    (在form标签中使用autocomplete=0来关闭自动完成功能)

    15.        在URL中输入下面的地址是否可以下载

    http://url/download.jsp?file=c:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/password

    16.        是否对session的有效期进行处理

    17.        错误信息中是否含有SQL语句,SQL错误信息以及web服务器的绝对路径的等

  • 相关阅读:
    记某app内购破解 – 安卓逆向菜鸟的初体验
    初探Android逆向:通过游戏APP破解引发的安全思考
    用IKVMC将jar转成dll供c#调用
    Java与.net 关于URL Encode 的区别
    RSA加密、解密、签名、验签的原理及方法
    C#使用SHA1加密类(RSAFromPkcs8)支持1024位和2048位私钥
    java与.net平台之间进行RSA加密验证
    RSA密钥,JAVA与.NET之间转换
    全面解决.Net与Java互通时的RSA加解密问题,使用PEM格式的密钥文件
    Android中Activity的启动模式(LaunchMode)和使用场景
  • 原文地址:https://www.cnblogs.com/hackchecker/p/2214435.html
Copyright © 2011-2022 走看看