Webセキュリティテストの知識ポイントは何ですか?-安全性-php.cn

Webセキュリティテストの知識ポイントは何ですか?

WBOY

リリース： 2023-05-11 18:34:06

転載

1354 人が閲覧しました

セキュリティテストとは何ですか?

セキュリティテストは、敵対的で悪意のある入力に直面してもアプリケーションがそのニーズを完全に満たせるという証拠を提供することです。

a. 証拠を提供するにはどうすればよいですか?失敗した一連のセキュリティテストケースの実行結果を使用して、Web アプリケーションがセキュリティ要件を満たしていないことを証明します。

b. セキュリティテストの必要性をどう思いますか?セキュリティテストは、ふるいにかけるべき入力と出力がより多くあるため、機能テストよりも要件に依存します。

真のソフトウェアセキュリティとは、実際にはリスク管理を指します。つまり、ソフトウェアのセキュリティがビジネスニーズを確実に満たすことができるということです。

セキュリティテストはどのように実施すればよいですか?

一般的な攻撃と脆弱性に基づいたセキュリティテストケースを実際の実践と組み合わせて追加することで、セキュリティテストを日常の機能テストのシンプルかつ一般的な部分に変えることができます。

セキュリティ上の重要性を持つ特別な境界値、およびセキュリティ上の重要性を持つ特別な等価クラスを選択し、これらをテスト計画およびテスト戦略のプロセスに統合します。

しかし、機能テストに基づいてセキュリティテストを実行する場合、多数のテストケースを追加する必要があります。これは、管理しやすくするには、焦点を絞ることとテストの自動化という 2 つのことを行う必要があることを意味します。

Web セキュリティテストでは、通常どのようなテストポイントを考慮する必要がありますか?

1. 問題: 未検証の入力
テスト方法:

データ型 (文字列、整数、実数など)
許可される文字セット

最小値および最大長
空の入力が許可されるかどうか
パラメータが必須かどうか
繰り返しが許可されるかどうか
値の範囲
特定の値 (列挙型)
特定のパターン (正規表現)

2. 問題: 問題のあるアクセス制御

テスト方法:

は主にユーザー ID と権限を確認する必要があるページに使用されます。これをコピーします。ページの URL アドレスです。ページを閉じた後、コピーしたアドレスを直接入力できるか確認してください
例：ページとページの隙間にURLアドレスが表示されますアドレスを直接入力すると自分自身が表示されますページ情報の無断転載

3、不正な認証とセッション管理

例: グリッド、ラベル、ツリービュークラスの入力ボックスは検証されず、入力内容は HTML 構文に従って解析されます。
4. バッファオーバーフロー

キーデータは暗号化されていません

例: view-source: http アドレスでソースコードを表示し、ページでパスワードを入力すると、ページに ** が表示されます。 * **、右クリックしてソースファイルを表示すると、入力したばかりのパスワードが表示されます

5. サービス妨害

分析: 攻撃者は、ホストから大量のトラフィックを消費するのに十分なトラフィックを生成する可能性があります。
6. 安全でない構成管理

分析: Config 内のリンク文字列、ユーザー情報、電子メール、およびデータストレージ情報が必要であるため、#6. に対処するには負荷分散が必要です。守ること。

プログラマがすべきこと: すべてのセキュリティメカニズムを構成し、未使用のサービスをすべてオフにし、ロール権限アカウントをセットアップし、ログとアラートを使用する

分析: ユーザーはバッファオーバーフローを使用して損害を引き起こす Web アプリケーション攻撃者は、特別に記述されたコードを Web プログラムに送信することで、Web アプリケーションに任意のコードを実行させることができます。

7. インジェクションの脆弱性
例: ユーザーのログインを確認するページ、

使用される SQL ステートメントが次の場合:

Select * from table A where username='' username '' and pass word .....