OWASP安全测试第8页

安全测试之PHP 漏洞全解

PHP漏洞全解(一)-PHP的攻击方式针对PHP的网站主要存在下面几种攻击方式:1、命令注入(CommandInjection)2、eval注入(EvalInjection)3、客户端脚本攻击(ScriptInsertion)4、跨网站脚本攻击(CrossSiteScripting,XSS)5、SQL注入攻击(SQLinjection)6、跨网站请求伪造攻击(CrossSiteRequestFor

进击的雷神·2023-11-09 06:14

软件测试/测试开发丨接口测试学习笔记，TcpDump与WireShark

测试开发软件测试性能测试自动化测试·2023-11-08 18:01

当数据安全被说烂的时候，还能谈些什么

而前不久，央视新闻报道了一则“面具可代替人脸解锁手机”的内容：科研人员用一个面具代替人脸进行了安全测试，试验结果是“假脸”成功通过了脸部识别系统，解锁了手机。

Z1Y492Vn3ZYD9et3B06·2023-11-08 09:33

70 内网安全-域横向内网漫游Socks代理隧道技术

内外网简单知识2.内网1和内网2通信问题3.正向反向协议通信连接问题4.内网穿透代理隧道技术说明演示案例:内网穿透Ngrok测试演示-两个内网通讯上线内网穿透Frp自建跳板测试-两个内网通讯上线CFS三层内网漫游安全测试演练

山兔1·2023-11-08 05:40

【转】Andorid-APP 安全测试

Android系统由于其开源的属性，市场上针对开源代码定制的ROM参差不齐，在系统层面的安全防范和易损性都不一样，Android应用市场对app的审核相对iOS来说也比较宽泛，为很多漏洞提供了可乘之机。市场上一些主流的app虽然多少都做了一些安全防范，但由于大部分app不涉及资金安全，所以对安全的重视程度不够；而且由于安全是门系统学科，大部分app层的开发人员缺乏安全技术的积累，措施相对有限。

大少爷π·2023-11-07 19:16

OWASP-TOP10-2021(1-5)

1.访问控制失效(BrokenAccessControl)2.加密失败(CryptographicFailures)3.注入(Injection)4.不安全设计(InsecureDesign)5.安全配置错误(SecurityMisconfiguration)访问控制失效(BrokenAccessControl)概念：网站有一些页面受到保护，普通用户无法访问。例如，只有网站的管理员用户才能访问管理

感觉要坏掉了·2023-11-07 18:25

OWASP TOP 10-注入-命令注入

命令注入漏洞漏洞成因应用有时需要调用一些执行系统命令的函数，如PHP中的system、exec、shell_exec、passthru、popen、proc_popen等，当用户能控制这些函数中的参数时，就可以将恶意系统命令。拼接到正常命令中，从而造成命令注入攻击，这就是命令注入漏洞。利用条件1.应用调用执行系统命令的函数2.将用户输入作为系统命令的参数拼接到了命令行中3.没有对用户输入进行过滤或

sec0nd_·2023-11-07 18:25

OWASP TOP 10-跨站脚本（XSS）

文章目录漏洞原理漏洞分类存储型XSS反射型XSS面试问题漏洞原理XSS又叫CSS(CrossSiteScript)，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。在XSS攻击中，一般有三个角色参与：攻击者、目标服务器、受害者的浏览器。由于有的服务器并没有对用户的输入进行安全方面的验证

sec0nd_·2023-11-07 18:25

【OWASP Top 10】2021版

【OWASPTop10】2021版A01：失效的访问控制（BrokenAccessControl）失效的访问控制（BrokenAccessControl）从第五位上升到了第一位。

寧小樂·2023-11-07 18:55

OWASP TOP10系列之#TOP4# A4-XML 外部实体 (XXE)

OWASPTOP10系列之#TOP4#A4-XML外部实体(XXE)文章目录OWASPTOP10系列之#TOP4#A4-XML外部实体(XXE)前言一、XXE是什么？

仗剑浪迹天涯丶·2023-11-07 18:24

web渗透测试----29、OWASP TOP 10----2017版

OWASPTop10是Web应用程序中最常见的漏洞类型。

七天啊·2023-11-07 18:54

OWASP top 10 （2017）学习笔记--XML外部实体（XXE）

A4:2017-XML外部实体(XXE)漏洞描述：如果攻击者可以上传XML文档或者在XML文档中添加恶意内容，通过易受攻击的代码、依赖项或集成，他们就能够攻击含有缺陷的XML处理器。漏洞影响：攻击者可以利用XML外部实体窃取使用URI文件处理器的内部文件和共享文件、监听内部扫描端口、执行远程代码和实施拒绝服务攻击。检测场景：以下提供几种简单的Payload模型。1、文件读取]>&xxe;2、拒绝服

weixin_30474613·2023-11-07 18:54

OWASP top 10详解

今天来学习一下什么是OWASPtop10目录今天来学习一下什么是OWASPtop10A1注入injectionA2失效的身份认证A3敏感数据泄露A4XML外部实体(XXE)A5失效的访问控制A6安全配置错误

渗透小剑客·2023-11-07 18:23

安全测试----OWASP top 10 简介

【原文链接】一、OWASPTop10简介1.1OWASP简介OWASP，开放式Web应用程序安全项目（OWASP，OpenWebApplicationSecurityProject）是一个非营利组织，不附属于任何企业或财团

redrose2100·2023-11-07 18:23

OWASP TOP10（2017）之【XML 外部实体（XXE）】

目录XML以及XXE漏洞介绍实战利用XXE漏洞读取文件（有回显）①读取.ext文件②读取php文件利用XXE漏洞读取文件（无回显）XXE防御策略XXE漏洞消亡原因XXE漏洞防御XML以及XXE漏洞介绍XML是指可扩展标记语言，用来传输和存储数据。XML文档结构包括XML声明，DTD文档类型定义（可选），文档元素。XML的焦点是数据的内容，它把数据从HTML分离，是独立于软件和硬件的信息传输工具。H

GINTOKIKAWAI·2023-11-07 18:52

OWASP top10（2013-2021）

OWASP，全称是：OpenWebApplicationSecurityProject，翻译为中文就是：开放式Web应用程序安全项目，是一个非营利组织，不附属于任何企业或财团，这也是该组织可以不受商业控制地进行安全开发及安全普及的重要原因

刚子116·2023-11-07 18:21

OWASP TOP 10-XML外部实体（XXE）

文章目录XML基础漏洞原理攻击方式XML基础XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。XML外部实体注入简称XXE漏洞：XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言

sec0nd_·2023-11-07 18:18

渗透测试必知必会—Web漏洞

0x00前言本文为对WEB漏洞研究系列的开篇，日后会针对这些漏洞一一研究，敬请期待0x01目录0x00前言0x01目录0x02OWASPTOP10简单介绍0x03乌云TOP10简单介绍0x04非主流的WEB

weixin_33693070·2023-11-07 11:04

网站移动端APP渗透测试安全检测方案

都会提前的对网站进行全面的渗透测试以及安全检测，提前检测出存在的网站漏洞，以免后期网站发展过程中出现重大的经济损失，前段时间有客户找到我们SINE安全公司做渗透测试服务，在此我们将把对客户的整个渗透测试过程以及安全测试

websinesafe·2023-11-07 11:34

渗透测试-安全服务体系+OWASP top 10

安全服务体系+OWASP介绍注入injection危害常见的注入如何防范失效的身份认证敏感数据泄露XML外部实体(XXE)失效的访问控制安全配置错误跨站脚本（xss）不安全的反序列化使用含有已知漏洞的组件不足的日志记录和监控内容敏感数据泄漏方面

amingMM·2023-11-07 11:30

OWASP TOP 10 2019

1，A1:2017-注入将不受信任的数据作为命令或查询的一部分发送到解析器时，会产生诸如SQL注入、NoSQL注入、OS注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。2，A2:2017-失效的身份认证通常，通过错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌，或者利用其它开发缺陷来暂时性或永久性冒充其他用户的

连某人·2023-11-07 11:57

如何利用AppScan扫描H5页面，进行安全测试？

前期项目组接触的都是Web安全测试，今天做安全测试的时候，有一个项目刚好有H5页面，用以前那种AppScan内置浏览器的探索方式是不行的，研究了下，可以使用外部设备进行探索。

程序员馨馨·2023-11-06 20:22

Penetration Testing、Security Testing、Automation Testing

www.cnblogs.com/LittleHann/p/3828927.htmlhttp://www.searchsecurity.com.cn/showcontent_56011.htmhttps://www.owasp.org

weixin_30627381·2023-11-06 20:47

渗透测试概述

文章目录Web安全测试概述渗透测试1.明确目标2.信息收集：收集域名信息：2.2搜索子域名3.查询注册人信息4.收集web信息5.搜集敏感目录6.端口扫描4.旁站C段5.整站分析渗透测试铺垫Web安全测试概述攻击系统软件可以直接获得

小高写BUG·2023-11-06 17:59

网络安全渗透测试目标

渗透测试概述：渗透测试是对用户信息安全措施积极评估的过程什么是渗透测试渗透测试是通过模拟恶意黑客的攻击方法，来估计计算机网络系统安全的一种安全测试与评估方法。

酒酿小小丸子·2023-11-06 17:27

网络安全day1-基础入门概念名词超详细！！！

目录一、域名1.域名概念：2.二级域名和多级域名：编辑3.域名对安全测试的意义：二、DNS1.域名系统2.本地Hosts与DNS的关系3.CDN概念以及和DNS的关系：4.常见的DNS安全攻击三、脚本语言四

你得不到的果粒橙·2023-11-06 08:53

python如何处理大规模的数据pyarrow

以下是一些示例代码，展示了pyarrow库的一些常见用法：创建和操作数组importpyarrowaspa#创建一个整数数组data=pa.array([1,2,3,4,5])#

openwin_top·2023-11-06 00:30

Python : Arrow、Pyarrow库、以及与Julia互读

test.csv样例：一、从csv=>table=>生成arrow文件importpyarrowaspafrompyarrowimportcsvcsv_path='C:\\Users\\songroom

songroom·2023-11-06 00:29

Webgoat8通关笔记（1）

WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台，用来说明web应用中存在的安全漏洞。

我不吃丶香菜·2023-11-06 00:57

如何从代码层防御10大安全威胁中的 Xpath Injection？

普遍性和可检测性：Xpath注入是OWASPTOP10安全威胁中A1Injection中的一种，注入漏洞发生在应用程序将不可信的数据发送到解释器时。

weixin_34362991·2023-11-06 00:54

WebGoat SQL注入之 Order by注入解题思路

github.com/WebGoat/WebGoat★运行WebGoat执行：java-jarwebgoat-server-8.0.0.M21.jar等出现如下log即运行成功：---[main]org.owasp.webgoat.StartW

爱博客大伯·2023-11-06 00:24

WebGoat攻略 for Mac（1）

WebGoat3.连接WebGoat二、题目攻略Introduction(介绍)a.WebGoatb.WebWolfGeneral(通用)a.HTTPBasics(HTTP基础)b.HTTPProxies配置OWASPZAPc.DeveloperTools

sadasdaf_624·2023-11-06 00:53

蔡少芬这样教女儿防拐知识，比说一百遍“别跟陌生人走”都管用

为了测试妈妈们说的话，孩子们到底记住没有，节目组决定找工作人员假扮“坏人”，来一场实打实的安全测试。结果出乎妈妈们意料，孩子们太

妈妈没时间·2023-11-06 00:30

SoftwareTest4 - 咋设计一个好的测试用例

咋设计一个好的测试用例一.设计测试用例的万能公式功能测试性能测试界面测试兼容性测试易用性测试安全测试案例案例1:对水杯设计测试用例案例2:对登录页面设计测试用例二.具体设计测试用例的方法2.1等价类等价类的概念等价类的用例编写

加勒比海涛·2023-11-05 21:41

OWASP TOP 10-注入-SQL注入

文章目录OWASPTOP10注入注入的分类SQL注入SQL注入的危害：sqlmap自动化注入注入类型回显注入盲注时间注入不同请求方式的注入特殊位置的注入利用DNSLOG注入基于报错的注入二阶注入宽字节注入堆叠注入

sec0nd_·2023-11-05 19:57

Mac安装Drozer apk安全测试框架踩坑记录, ‘openssl/opensslv.h‘ file not found 和implicit declaration of function‘xx‘

一.环境准备查看Drozer项目说明发现环境要求大致就是:jdk1.7+python2.7和pip2不支持python3和pip3Protobuf2.6+Pyopenssl16.2+Twisted10.2+androidsdk安装adb模拟器也要安装drozeragent确保配置了adb、java环境变量1.1mac通过brew安装python2从MacOS12.4Beta版(21F5048e)开

kainx·2023-11-05 16:51

SAST静态应用安全测试工具的分析引擎小析

SAST工具最难的技术在于底层引擎的开发，根据引擎采用的技术可以分成三类：针对源代码进行检测。主要是指对于C、C++、Java、C#编译型开发语言，不需要编译，而是直接对于源代码本身进行检测。虽然不需要编译，但是往往采用先行编译的方法，这样在编译时，能够得到缺少的文件，在分析中可以进行代码补齐技术。Checkmarx最早是编译后进行检测的技术引擎，但是最近也是调整为针对源代码本身进行检测。至于为什

manok·2023-11-04 16:11

SAST——Checkmarx静态检测工具收集（2）

Checkmarx是一家以色列高科技软件公司，是世界上著名的代码安全扫描软件CheckmarxCxSAST的生产商，拥有应用安全测试的业内前沿解决方案-CxSAST、CxOSA、CxIAST。

manok·2023-11-04 16:10

什么是越权访问漏洞？漏洞分类、开发层面理解！

越权访问（BrokenAccessControl，简称BAC）是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大，被OWASP列为Web应用十大安全隐患的第二名。

套马杆的程序员·2023-11-04 14:18

3-软件安全测试之系统安全测试

https://blog.csdn.net/victory_xing126/article/details/44420891一、操作系统安全操作系统不允许存在Nessus扫描出的高风险级别漏洞*注：Nessus使用方法简介对于各服务器的操作系统采用Nessus进行漏洞扫描：1、登录Nessus；2、创建扫描策略：点击“Policies”菜单，再点击“Add”按钮，在第一步中设置扫描策略的名称；在第

昵称占用着·2023-11-04 01:59

CFS 三层内网漫游安全测试演练

CFS三层内网漫游安全测试演练环境配置演练环境配置靶场环境：靶场虚拟机下载：https://pan.baidu.com/s/1O9pgm9UZCSIdifMEb0E9ZA#list/path=%2F提取码

acepanhuan·2023-11-03 16:51

测试开发大纲及本课程的介绍

本课程大纲暂定如下：介绍互联网测试流程和测试技术理论Shell课程python课程接口自动化测试web自动化测试App自动化测试自动遍历兼容性测试专项测试性能测试安全测试Docker实战De

测试开发架构师·2023-11-03 15:25

第4天：基础入门-30余种加密编码进制&；Web&；数据库&；系统&；代码&；参数值

知识点1.存储密码加密-Web&数据库&系统2.传输数据编码-各类组合传输参数值3.代码特性加密-JS&PHP&NET&JAVA4.数据显示编码-字符串数据显示编码二、本课意义：1.了解加密编码进制在安全测试中的存在

阿凯6666·2023-11-03 14:17

Appscan安全测试-appscan实现多站扫描简单自动化

一.APPscanan安装与使用参考AppScan安装与使用，区别于常规使用。在完成扫描配置向导这一步时，选择“我将稍后启动扫描”，并暂停后续的扫描步骤。然后ctrl+S保存二.新建base_scan文件。1.base_scan放入APPScan路径下2.或者我们为了方便，可以设置环境变量，这样的话base_scan文件可以设置任意新建路径，随意放。3.新建base_scan文件，编辑批处理信息。

哈罗木马·2023-11-03 10:45

Tailscale在内网渗透中利用的研究

前言在内网渗透的过程中，基于内网环境的复杂性，安全测试人员常常需要在，其中建立多个代理隧道，以便访问到核心的资产。

杰克逊2450·2023-11-02 21:25

亚马逊车充UL2089认证费用是多少，测试流程

UL2089是车充产品的一项安全测试报告，目前亚马逊为了保护客户的权益，强制要求必须提供的安规检测报

JC13343408274·2023-11-02 17:47

网站后台测试软件,WebCrack：网站后台弱口令批量检测工具

前言在做安全测试的时候，随着资产的增多，经常会遇到需要快速检测大量网站后台弱口令的问题。然而市面上并没有一个比较好的解决方案，能够支持对各种网站后台的通用检测。所以WebCrack就应运而生。

weixin_39732991·2023-11-02 05:31

带外应用安全测试（OAST）

带外应用安全测试（OAST）这篇文章更多的是对burpCollaborator的总结和使用。

石头安全·2023-11-02 04:25

软件测试优秀的测试工具，会用三款工作效率能提升一半

1.测试管理工具2.接口测试工具3.性能测试工具4.C/S自动化工具5.白盒测试工具6.代码扫描工具7.持续集成工具8.网络测试工具9.app自动化工具10.web安全测试工具注：工具排名没有任何意义。

程序员雷叔·2023-11-02 01:55

某国产中间件企业：提升研发安全能力，助力数字化建设安全发展

国产软件自立自强，安全测试难度节节高升随着信息技术的快速发展和应用的普及，数字化产品的安全性和稳定性成为了企业赢得市场竞争的关键因素之一。然而，该企业在为客户提供数字化产

开源网安·2023-11-01 11:31

推荐频道

OWASP安全测试