企业官网建设流程全解析

企业自建网站有哪些,网站优化要多少钱,东城区网站排名seo,个人网页设计作品欣赏Hi#xff0c;大家好#xff0c;我是测试界的飘柔。如今安全问题显得越来越重要#xff0c;一个大型的互联网站点#xff0c;你如果每天查看日志#xff0c;会发现有很多尝试攻击性的脚本。 如果没有#xff0c;证明网站影响力还不够大。信息一体化的背后深藏着各类安全…Hi大家好我是测试界的飘柔。如今安全问题显得越来越重要一个大型的互联网站点你如果每天查看日志会发现有很多尝试攻击性的脚本。如果没有证明网站影响力还不够大。信息一体化的背后深藏着各类安全隐患例如由于开发人员的不严谨导致为Web应用程序编写的代码质量堪忧这很有可能被第三方恶意利用从而未经授权的访问就能获取敏感数据和Web服务器的控制权。目前很多所谓的安全测试工程师仅仅停留在使用一些自动化审计工具来检测系统并对工具检测出来的Bug进行梳理然后把它提给开发人员。不懂原理不懂代码当开发人员也对于安全一窍不通的时候没办法从自动审计工具上整理下来的Bug。今天就安全测试做一个简单介绍为将来想从事安全测试或者对网络安全渗透测试感兴趣的各位做好基础装备技能的普及。一 短信轰炸1 漏洞描述短信轰炸攻击是常见的一种攻击攻击者通过网站页面中所提供的发送短信验证码的功能处通过对其发送数据包的获取后进行重放如果服务器短信平台未做校验的情况时系统会一直去发送短信这样就造成了短信轰炸的漏洞。2 渗透测试手工找到有关网站注册页面认证页面是否具有短信发送页面如果有则进行下一步。通过利用burp或者其它抓包截断工具抓取发送验证码的数据包并且进行重放攻击查看手机是否在短时间内连续收到10条以上短信如果收到大量短信则说明存在该漏洞。3 风险评级可对任意手机号轰炸判定为高风险。只可对当前手机号轰炸或单个手机号码做了限制但变换手机号码仍然可以不断发送的判定为低风险。4 安全建议合理配置后台短信服务器的功能对于同一手机号码同一验证发送次数不超过5-10次且对发送时间间隔做限制当发送超过一定次数可以为0加入验证码验证。二 邮件轰炸1 漏洞描述应用系统未限制邮件的发送次数和频率造成短时间内大量邮件发送至接收者邮箱造成大量垃圾邮件。2 渗透测试手工找到有关网站注册页面认证页面是否具有邮件发送页面如果有则进行下一步。通过利用burp或者其它抓包截断工具抓取发送邮件的数据包并且进行重放攻击查看邮箱是否在短时间内连续收到10封以上邮件如果收到大量邮件则说明存在该漏洞。3 风险评级可对任意邮箱轰炸判定为高风险。只可对当前邮箱轰炸判定为低风险。4 安全建议合理配置后台邮件服务器的功能对于同一邮箱同一验证发送次数不超过5-10次且对发送的时间间隔做限制。当发送超过一定次数可以为0加入验证码验证。三 短信定向转发1 漏洞描述短信接收人可任意指定。2 渗透测试拦截发送短信的请求将手机号改为测试人员的手机号测试是否可接收短信验证码。3 安全建议发送短信时手机号从当前会话中获取避免从前端传入。用户的手机号不能随意变动需要认证过程。四 邮件可定向转发1 漏洞描述应用系统发送邮件的接收人可由客户端任意指定。2 渗透测试拦截发送邮件的请求将接收人邮箱改为测试人员的邮箱地址测试是否可接收邮件。3 安全建议发送邮件时邮箱从当前会话中获取避免从前端传入。用户的邮箱不能随意变动需要认证过程。五 用户密码修改/重置1 漏洞描述可通过篡改用户名或ID、暴力破解验证码等方式修改/重置任意账户的密码。2 渗透测试密码修改的步骤一般是先校验用户原始密码是否正确再让用户输入新密码。3 修改/重置密码机制修改密码机制绕过方式大概有以下三种如果输入新密码的接口可以直接访问那么在未知原始密码的的情况下即可直接修改密码通常知道了他人的用户名即可任意修改他人的密码。如果系统未校验修改密码的用户身份那么在提交修改密码请求时攻击者通过输入密码将用户名或者用户ID修改为其他人的即可成功修改他人的密码。当修改密码时系统需要电子邮件或者手机短信确认而应用程序未校验用户输入的邮箱和手机号那么攻击者通过填写自己的邮箱或手机号接收修改密码的链接和验证码以此修改他人的密码。密码重置机制绕过攻击方式主要有以下两种通过正常手段获取重置密码的链接猜解链接的组成结构和内容如用户名或者时间戳的MD5值。在得知他人邮箱的情况下构造重置他人密码的链接。在得知他人手机号的情况下通过穷举手机验证码重置他人的密码。4 安全建议一次性填写校验信息原始密码、新密码等后再提交修改密码请求。对客户端提交的修改密码请求应对请求的用户身份与当前登录的用户身份进行校验判断是否有权修改用户的密码。使用手机或邮箱进行验证时要与修改密码的用户一一对应且验证码仅一次有效验证之后即失效避免暴力破解。对原始密码进行了验证的情况下限制输入原始密码的错误次数防止攻击者暴力破解原始密码。重置密码链接中的关键信息应随机化不可预测例如token机制且禁止将关键信息返回到客户端。六 SSO认证缺陷1 漏洞描述SSO认证存在缺陷可越权登录他人账户。2 渗透测试信息传输缺乏安全保证SSO认证通信过程中大多数采用明文形式传送敏感信息这些信息很容易被窃取致使重要信息泄露。另外在通信过程中大多数场景没有对关键信息进行签名容易遭到伪装攻击。利用Web服务的安全缺陷由于单点登录基本上是基于Web服务实现的所以也不可避免的存在Web服务的安全缺陷如跨站脚本攻击、越权攻击等。3 安全建议建议在不影响业务的前提下使用HTTPS协议传输。严格校验SSO认证过程中的用户身份。过滤用户传入的参数对特殊符号进行转义或屏蔽。七 越权1 漏洞描述越权访问这类漏洞是指应用在检查授权Authorization时存在纰漏使得攻击者在获得低权限用户帐号后可以利用一些方式绕过权限检查访问或者操作到原本无权访问的高权限功能。在实际的代码安全审查中这类漏洞往往很难通过工具进行自动化检测因此在实际应用中危害很大。其与未授权访问有一定差别。2 渗透测试以超管 admin高权限用户 身份登录系统。找到一个只有超管高权限才有的功能的链接比如“http://localhost/userManage/userList.do” , 显示出所有的user并复制此链接。以普通用户登陆进系统,在地址栏输入userManage/userList.do确认是否可以查看到其所有的user。还可以测试同级别用户的横向越权访问。3 安全建议对用户操作进行权限校验防止通过修改参数进入未授权页面及进行非法操作建议在服务端对请求的数据和当前用户身份做一个校验检查。八 恶意锁定问题1 漏洞描述通过不断的输入错误的密码恶意锁定任意账号。2 风险评级锁定账户之后可继续使用认证功能导致可批量自动化账户锁定为中风险。锁定账户之后可继续使用认证功能但认证存在防自动化功能为低风险。3 安全建议账户锁定之后应不能继续使用认证功能如对请求IP进行一个限制一段时间之后才可以继续尝试认证。认证功能防自动化操作如添加图形验证码。九 业务流程跳跃1 漏洞描述应用程序未校验订单数据的取值范围交易存在负值反冲或正负值对冲。2 渗透测试提交订单时拦截请求修改订单参数为负数如商品单价、数量、总价等。提交订单包含多种商品时拦截请求修改部分商品的单价或数量保证订单总金额为正数。3 安全建议服务器端在生成交易订单时商品的价格从数据库中取出禁止使用客户端发送的商品价格。服务器端对客户端提交的交易数据如商品ID、商品数量、商品价格等的取值范围进行校验将商品ID和商品价格与数据库中的数据对比校验商品数量为大于零的整型数。服务器端在生成支付订单时对支付订单中影响支付金额的所有因素比如商品ID、商品数量、商品价格、订单编号等进行签名对客户端提交的支付订单进行校验。以上就是今天的全部内容希望对大家有所帮助也希望大家多多留言、点赞、收藏、转发❤️支持小编。总结感谢每一个认真阅读我文章的人作为一位过来人也是希望大家少走一些弯路如果你不想再体验一次学习时找不到资料没人解答问题坚持几天便放弃的感受的话在这里我给大家分享一些自动化测试的学习资源希望能给你前进的路上带来帮助。软件测试面试文档我们学习必然是为了找到高薪的工作下面这些面试题是来自阿里、腾讯、字节等一线互联网大厂最新的面试资料并且有字节大佬给出了权威的解答刷完这一套面试资料相信大家都能找到满意的工作。视频文档获取方式这份文档和视频资料对于想从事【软件测试】的朋友来说应该是最全面最完整的备战仓库这个仓库也陪伴我走过了最艰难的路程希望也能帮助到你以上均可以分享点下方小卡片即可自行领取。