搜索

[13670] 2019-01-19_Web应用渗透实验策略与方法论研究

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-01-19_Web应用渗透实验策略与方法论研究 W e b 应 用 渗 透 实 验 策 略 与 方 法 论 研 究 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 1 - 1 9 写 在 前 面 的 话 写 在 前 面 的 话 现 在 越 来 越 多 的 数 据 会 存 储 在 现 在 越 来 越 多 的 数 据 会 存 储 在 W e b 应 用 程 序 里 面 了 ， 因 此 应 用 程 序 里 面 了 ， 因 此 W e b 应 用 安 全 的 重 要 性 也 愈 发 凸 显 。 在 对 应 用 安 全 的 重 要 性 也 愈 发 凸 显 。 在 对 W e b 应 用 程 应 用 程 序 进 行 了 安 全 测 试 之 后 ， 我 们 可 以 判 断 其 存 储 的 敏 感 数 据 是 否 真 的 能 够 实 现 受 限 访 问 ， 并 只 允 许 特 定 用 户 对 数 序 进 行 了 安 全 测 试 之 后 ， 我 们 可 以 判 断 其 存 储 的 敏 感 数 据 是 否 真 的 能 够 实 现 受 限 访 问 ， 并 只 允 许 特 定 用 户 对 数 据 执 行 操 作 任 务 。 据 执 行 操 作 任 务 。 W e b 安 全 测 试 的 范 围 非 常 广 ， 其 中 涉 及 到 多 种 安 全 测 试 过 程 ， 从 识 别 整 个 W e b 应 用 程 序 开 始 ， 再 到 对 多 个 阶 段 的 测 试 进 行 监 控 ， 它 是 一 个 系 统 化 的 操 作 流 程 。 在 本 文 中 ， 我 们 将 跟 大 家 一 起 讨 论 一 下 在 发 现 和 修 复 W e b 应 用 程 序 中 可 能 存 在 的 安 全 漏 洞 时 需 要 注 意 哪 些 关 键 因 素 。 W e b 应 用 程 序 安 全 测 试 应 用 程 序 安 全 测 试 功 能 测 试 功 能 测 试 在 功 能 测 试 中 ， 需 要 对 W e b 应 用 程 序 中 的 每 一 个 实 际 功 能 进 行 测 试 ， 并 验 证 这 些 功 能 是 否 能 够 完 全 按 照 规 范 或 者 标 准 来 运 行 。 测 试 过 程 需 要 访 问 W e b 页 面 中 所 有 的 链 接 ， 其 中 不 仅 包 括 所 有 的 页 面 超 链 接 、 数 据 库 链 接 以 及 表 单 链 接 ， 而 且 还 包 括 所 有 需 要 收 集 并 上 传 用 户 数 据 的 表 单 元 素 。 可 用 性 测 试 可 用 性 测 试 可 用 性 测 试 包 括 以 下 几 个 方 面 ： 1 、   网 站 应 当 上 手 简 单 ， 易 于 使 用 。 2 、   操 作 指 引 应 该 简 单 明 了 ， 表 达 明 确 。 3 、   每 一 个 页 面 的 标 题 应 当 能 够 概 括 当 前 页 面 的 主 要 内 容 。
4 、   网 站 中 的 内 容 应 该 保 持 一 致 性 。 接 口 测 试 接 口 测 试 在 接 口 测 试 中 ， W e b 应 用 程 序 接 口 、 W e b 服 务 器 接 口 和 数 据 库 服 务 器 接 口 都 是 需 要 测 试 的 主 要 接 口 。 在 进 行 接 口 测 试 的 过 程 中 ， 测 试 人 员 需 要 访 问 这 些 服 务 器 之 间 的 全 部 交 互 信 息 ， 并 对 交 互 信 息 进 行 分 析 ， 以 此 来 判 断 接 口 间 的 数 据 处 理 是 否 正 确 。 如 果 W e b 应 用 程 序 的 后 台 数 据 库 服 务 器 返 回 了 查 询 错 误 ， 那 么 在 正 常 情 况 下 ， 应 用 程 序 服 务 器 应 当 捕 捉 到 异 常 ， 并 将 错 误 信 息 以 适 当 的 方 式 显 示 给 终 端 用 户 。 兼 容 性 测 试 兼 容 性 测 试 网 站 的 兼 容 性 测 试 是 非 常 重 要 的 ， 在 进 行 兼 容 性 测 试 的 过 程 中 ， 需 要 测 试 的 方 面 包 括 操 作 系 统 兼 容 性 、 页 面 打 印 兼 容 性 和 浏 览 器 兼 容 性 等 等 。 性 能 测 试 性 能 测 试 测 试 人 员 在 进 行 W e b 应 用 程 序 安 全 测 试 时 必 须 熟 悉 H T T P 协 议 ， 他 们 不 仅 要 了 解 服 务 器 与 客 户 端 是 如 何 进 行 通 信 的 ， 而 且 还 要 明 确 H T T P 的 完 整 工 作 流 程 。 需 要 注 意 的 是 ， W e b 应 用 程 序 的 安 全 性 相 对 其 他 类 型 的 应 用 程 序 来 说 是 比 较 低 的 ， 因 此 测 试 人 员 必 须 详 细 检 测 目 标 W e b 应 用 中 可 能 存 在 的 每 一 个 缺 陷 。 漏 洞 检 测 漏 洞 检 测 在 进 行 性 能 测 试 时 ， 测 试 人 员 必 须 同 时 检 测 以 下 几 种 安 全 漏 洞 ： S Q L 注 入 注 入 存 在 S Q L 注 入 漏 洞 的 后 果 是 非 常 严 重 的 ， 因 为 它 会 导 致 W e b 应 用 程 序 的 机 密 数 据 从 后 台 数 据 库 服 务 器 中 泄 露 出 去 。 这 种 类 型 的 攻 击 需 要 在 软 件 或 应 用 程 序 的 运 行 过 程 中 进 行 ， 我 们 可 以 通 过 对 各 种 输 入 字 段 （ 如 注 释 和 文 本 框 等 ） 进 行 详 细 的 安 全 检 测 ， 并 对 用 户 输 入 进 行 有 效 过 滤 来 防 止 这 种 类 型 的 攻 击 。 密 码 破 解 密 码 破 解 为 了 获 取 用 户 的 敏 感 信 息 ， 攻 击 者 会 使 用 各 种 密 码 破 解 工 具 。 不 过 常 用 的 用 户 名 和 密 码 都 可 以 直 接 从 网 上 找 到 ， 或 者
直 接 使 用 开 源 的 密 码 破 解 工 具 。 因 此 ， 性 能 测 试 对 于 密 码 破 解 来 说 是 非 常 重 要 的 。 U R L 篡 改 篡 改 攻 击 者 还 可 以 通 过 篡 改 U R L 查 询 字 符 串 来 获 取 服 务 器 中 的 敏 感 数 据 。 如 果 目 标 W e b 应 用 程 序 缺 乏 相 应 的 安 全 措 施 ， 那 么 机 密 数 据 就 会 泄 漏 。 一 般 来 说 ， G E T 方 法 最 容 易 受 到 这 种 类 型 的 攻 击 ， 因 此 测 试 人 员 必 须 要 对 请 求 参 数 进 行 分 析 ， 并 在 服 务 器 接 收 和 处 理 请 求 之 前 对 恶 意 信 息 进 行 过 滤 ， 跨 站 脚 本 跨 站 脚 本 X S S X S S 允 许 攻 击 者 在 用 户 浏 览 的 页 面 中 插 入 恶 意 代 码 或 链 接 ， 当 用 户 访 问 该 页 面 或 点 击 了 恶 意 U R L 之 后 ， 页 面 代 码 会 发 生 变 化 ， 并 允 许 攻 击 者 访 问 或 窃 取 目 标 用 户 的 个 人 数 据 以 及 其 他 的 关 键 信 息 。 安 全 测 试 安 全 测 试 在 安 全 测 试 过 程 中 ， 测 试 人 员 可 以 参 考 下 列 步 骤 进 行 操 作 ： 1 、   了 解 并 识 别 目 标 应 用 程 序 的 安 全 需 求 。 2 、   尽 可 能 多 地 收 集 关 于 目 标 W e b 应 用 程 序 的 所 有 信 息 ， 包 括 后 台 服 务 器 信 息 、 网 络 架 构 及 设 置 信 息 、 编 程 开 发 语 言 、 技 术 实 现 细 节 以 及 硬 件 配 置 等 等 。 3 、   识 别 可 能 存 在 的 安 全 风 险 或 漏 洞 ， 并 列 出 清 单 。 4 、   根 据 列 表 建 立 威 胁 模 型 。 5 、   根 据 识 别 出 的 潜 在 风 险 或 漏 洞 制 定 测 试 计 划 。 6 、   为 每 一 个 安 全 风 险 或 漏 洞 制 作 一 个 跟 踪 矩 阵 。 7 、   准 备 好 相 关 的 安 全 测 试 用 例 文 档 。 8 、   执 行 安 全 漏 洞 测 试 用 例 。
9 、   在 已 识 别 出 的 安 全 缺 陷 被 修 复 后 ， 重 新 进 行 测 试 。 1 0 、 生 成 安 全 测 试 文 档 ， 其 中 需 包 括 安 全 风 险 或 漏 洞 的 详 细 描 述 ， 以 及 仍 然 可 能 存 在 的 风 险 详 情 。 *   参 考 来 源 ： 参 考 来 源 ： g b h a c k e r s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理