关于 安全测试

文/艾米

什么是安全测试

安全测试（security testing）是测试系统在没有授权的内部或者外部用户对系统进行攻击或者恶意破坏时如何进行处理，是否能够保证数据和页面的安全。

Web攻击主要类型

1. 跨站脚本(XSS)攻击

2. SQL注入

3. XML注入

4. 目录遍历

5. 上传下载漏洞攻击

6. 信息泄露

7. 访问控制错误

Web攻击主要类型 - 跨站脚本(XSS)攻击

XSS又叫CCC(Cross Site Script),跨站脚本攻击。它指的恶意攻击者往Web页面里插入恶意HTML代码，当浏览该页之时，嵌入其中WEB里的html代码会被执行，从而达到恶意用户的特殊目的。

例：盗取Cookie、钓鱼

Web攻击主要类型 - SQL注入

将SQL命令人为的输入到URL、表格域、或者其他动态生成的SQL查询语句的输入参数中，完成SQL攻击。

例：查询数据库中的敏感内容、绕过认证、添加 /删除/ 修改数据

Web攻击主要类型 -XML 注入

和SQL注入原理一样，XML时存储数据的地方，如果在查询或修改时，在没有做转义，直接输入或输出数据，都将导致XML注入漏洞。攻击者可以修改XML数据格式，增加新的XML节点，对数据处理流程产生影响。

Web攻击主要类型 -目录遍历

目录遍历攻击是指：恶意用户找到受限文件的位置并且浏览或者执行它们。攻击者浏览受限文件，比如读取配置文件、密码文件等，就会破话隐私，甚至引发安全问题，如执行了受限文件，攻击者就可以根据自己的意愿来控制和修改WEB站点。

例如：

http://***.*****.**/order/zheYongShenQingInfo.do?discountId=364

我们可以尝试进行攻击：

http://***.*****.**/order/zheYongShenQingInfo.do?discountId=365

或者尝试访问应用服务器的系统目录：

http://***.*****.**/order/zheYongShenQingInfo.do?discountId=../../../../etc/password

Web攻击主要类型 -文件上传

WEB应用程序在处理用户上传的文件时，没有判断文件的扩展名是否在范围内，或者没有检测文件内容的合法性，就把文件保存在服务器上，甚至上传脚本木马到WEB服务器上，直接控制WEB服务器。

例: 未限制扩展名、未检查文件内容、病毒文件

Web攻击主要类型 -任意文件下载

1. 下载附件等功能

2. Apache 虚拟目录指向

3. JAVA/PHP读取文件

4. 下载数据库配置文件等

5. 目录浏览

Web攻击主要类型 -消息泄露

WEB应用程序在处理用户错误请求时，程序在抛出异常的时候给出了比较详细的内部错误信息，而暴露了不应该显示的执行细节，如文件路径、数据库信息、中间件信息、IP地址等。

例：用户名输错时，提示用户名错误

WEB漏洞扫描工具

1. Web vulnerability scanner

2. WebScarab