网站安全检测点

 

 

1.检测指标：

1.2密码安全：

       描述：判断密码是不是容易被盗取

操作：可以通过浏览器查看是否加密，并将加密作为独立请求进行测试验。    此外晓风后台的登陆没有手机验证码进行验证功能，我们目前系统增加了这块验证使得系统登陆更加安全。

1.3SQL注入检测

描述：检测Web网站是否存在SQL注入漏洞，如果存在该漏洞，攻击者对注入点进行注入攻击，可轻易获得网站的后台管理权限，甚至网站服务器的管理权限。

操作：下载acunetix webvulnerability scanner 进行扫描检测。

1.4上传漏洞

描述：检测Web网站的上传功能是否存在上传漏洞，如果存在此漏洞，攻击者可直接利用该漏洞上传木马获得WebShell。

操作：检测前台是否有上传的地方，并且检查是否可以上传.asp，.exe甚至其他shell脚步文件

1.5 表单绕过：

描述：如何很多逻辑的验证或者计算只是在表单页面进行，那么攻击者可以通过绕过页面直接对后台进行数据提交

操作：开发人员需要检测页面的逻辑验证是否在后台都具备相应的操作，并养成好的开发习惯。

 

1.6 URL非法访问

描述：直接获取网站中某个URL地址，进行浏览器上的访问。

操作：直接拷贝几个带有参数的URL放入到浏览器上进行验证，系统开发上考虑一下是不是拦截有遗漏，特别是我们自己开发的部分以及用于测试的页面。

 

1.7敏感信息泄露

描述：系统的个人资料应该受到保护，有些系统通过id来查找相应用户资料。

操作：查看系统中是否存在通过id为参数的请求，并随便修改id的数字进行url请求

 

1.8 XSS跨站脚本。

描述：检测Web网站是否存在XSS跨站脚本漏洞，如果存在该漏洞，网站可能遭受Cookie欺骗、网页挂马等攻击。

操作：检测所有输入框是否可以输入html的标签，特别是脚步

 

1.9跨站点请求伪造

描述：跨站点请求伪造攻击通过强制已登录受害者的浏览器香目标网站发送预认证请求，然后强制受害者浏览器执行有利于攻击者的行为。

操作：在每个请求页面请求前，自动产生随机数加密串，后台进行解密进行验证。查看是否所有请求都符合这个规则。

 

1.10 Cookie 欺诈

Cookie欺骗的途径有：

1. 跳过浏览器，直接对通讯数据改写

2. 修改浏览器，让浏览器从本地可以读写任意域名Cookie

3. 使用签名脚本，让浏览器从本地可以读写任意域名Cookie

4. 欺骗浏览器，让浏览器获得假的域名

 

      操作：给cookie加一个时间戳和ip进行加密，具体可以通过查看浏览器的cookie，看是否是加密串。

 

 1.11隐藏目录泄露

描述：出错或者直接敲链接，网站显示出错误信息或者目录，应该用404 这些的错误页面来代替。

操作：检测系统是否测试生产环境，并且检测apache是否会显示目录问题，另外出错信息都用404等错误页面代替。

 

2.           外部网站检测

360网站的验证

http://webscan.360.cn/

3.           工具检测

http://www.cnblogs.com/lhb25/archive/2012/06/18/8-useful-and-free-web-application-security-testing-tools.html

 

阿里云系统自带的一些检测工具

 

 

 

 

 

 

本文出自 “linugb118” 博客，转载请与作者联系！