web安全/渗透测试--8--配置管理测试

3.7 配置管理测试

1、网络和基础设施配置测试：示例程序文件或已知的文件是否依然存在、注释是否向外泄露信息、管理配置审查（不该配的不配、不该有的不有）、日志（敏感和非敏感、位置、存储、轮转迭代、访问控制）。工具：管理工具。

2、文件扩展处理测试：检查扩展名校验机制是否安全（通过文件上传点）。

3、审查旧文件、备份、未被引用文件的敏感信息（该删的删、该藏的藏、该变的变）。工具：扫描器、网络爬虫。

4、管理（后台）页面枚举。

5、HTTP方法：HEAD、GET、POST、PUT、DELETE、TRACE、OPTIONS、CONNECT。测试哪些方法被支持，从而利用相关漏洞缺陷。

6、RIA跨域策略测试：富网络应用程序（RIA）采用通过domain.xml策略文件允许跨域访问控制，如果访问策略文件配置不当，则存在安全问题。

<cross-domain-policy>
<allow-access-from domain=”*” />        //为*不安全
</cross-domain-policy>

7、使用离线配置核查脚本直接测试即可，相关脚本已全量导出。