細說企業網站安全性測試
[2019-02-18]安全測試最終并未證明應用程序是安全的，但用于驗證已建立策略的有效性。這些策略是根據威脅分析階段的假設選擇的?？梢詮牟渴鸷突A架構，輸入驗證，身份驗證，授權，配置管理，敏感數據，會話管理，加密實施完整的WEB安全測試。討論了參數操作，異常管理，審計和日志記錄。
通過掃描一些漏洞掃描工具，基本思想，最低服務+最新補丁+最嚴格的用戶管理，網站腳本的安全性由程序員控制。我們總結了測試儀測試的要點，包括以下內容：
1.跨站點腳本攻擊
通過腳本語言缺陷模擬合法用戶，控制其帳戶并竊取敏感數據
2.注射攻擊
通過構造查詢對數據庫，LDAP和其他系統進行非法查詢
3.惡意文件執行
在服務器上執行shell命令以獲得控制權
4.偽造跨站點請求
發起盲請求，模擬合法用戶，請求轉移等。
5.不安全的對象引用
引入不安全的對象，訪問敏感文件和資源，以及將敏感文件內容返回到WEB應用程序
6.銷毀認證和會話管理
驗證會話令牌防止會話被盜
7.會話的失敗時限
會話的失敗時間設置是否太長將導致訪問風險
8.不安全的特洛伊木馬存儲
簡單的加密技術導致黑客破解密碼，竊取秘密信息并驗證其數據加密。
9.不安全的溝通
敏感信息以不加密的方式在不安全的信道中傳輸。敏感信息被竊取以驗證其通信的安全性。
10. URL訪問限制失敗
驗證是否通過惡意方式訪問未經授權的資源鏈接，強行訪問某些登錄頁面并竊取敏感信息
11.信息披露和不正確的錯誤處理測試
通過攻擊WEB站點的特定信息防止黑客獲取詳細系統信息的惡意系統檢測
12.注冊和登錄測試
認證系統在登錄前注冊，驗證登錄用戶名和密碼匹配檢查，密碼長度和登錄嘗試次數，以防止非法用戶登錄
13.加班限制
驗證WEB應用系統是否需要超過時間限制，當用戶長時間不做任何事情時，需要重新登錄才能使用它。
14.日志文件
驗證服務器上的日志是否正常工作以及是否記錄了所有事務
15.目錄文件
驗證WEB服務器目錄訪問權限或索引。 HTM為每個目錄訪問，防止WEB服務器不當處理并暴露整個WEB目錄。
16.認證
驗證呼叫者的身份，數據庫的身份，服務帳戶要求的清晰度以及強制性試用帳戶管理措施
17.授權
驗證如何授權最終用戶，如何授權數據庫中的應用程序以及確定對系統資源的訪問權限
18.談話
驗證會話標識符的交換方式，會話生存期是否受限以及如何確保會話存儲狀態安全性
19.配置管理
驗證是否支持遠程管理，是否保證配置存儲安全性以及是否隔離管理員權限
20.備份和恢復
為了防止意外系統崩潰導致數據丟失，驗證備份和恢復功能的正常執行，備份和恢復方法是否滿足Web系統的安全要求。
21.數據庫密鑰數據是否被加密和存儲，以及敏感數據是否在網絡中傳輸
22.登錄或注冊功能中是否存在認證碼，以防止惡意群發登錄攻擊
23. Cookie文件是否已加密以防止cookie內容被盜
24.密碼強度警報
建議加強密碼規則。
25.密碼內容禁止復制和粘貼
（該文源自網絡，如有侵權，請與我司聯系）
