前言
刚接触这方面，下面是在阅读相关知识时看到的一篇总结性的文章，很多东西没怎么看懂，就先记录下来了。算是对参考文献的阅读笔记吧。
OWASP
一个世界范围的致力于提高应用程序安全性的自由开源社区。
目的是使应用程序的安全性变得可视化
发布一个完整的测试框架，人们可以根据需要建立自己的测试程序。
测试任务——>测试报告
流程
开始web渗透测试——信息搜集——配置以及部署管理测试——身份鉴别管理测试
——认证测试——授权测试——会话管理测试——输入验证测试——错误处理测试
——密码学测试——业务逻辑测试——客户端测试——输出交付件，结束测试
1、收集信息(很关键，收集尽可能多的信息)
OSINT(公开来源情报)、子域名、应用程序入口、web服务器、应用程序框架等
- 各类搜索引擎，对应搜索技巧。google hacking
- 探测web服务器，如Apache、Nginx、IIS等，以及对应版本
- Meta文件（元文件），如robots.txt，页面HTML源码
服务器上的各种应用，
- ssh，rtsp等
- 非80，443端口的web应用
- 同一域名，不同路径的应用
- 页面源码，js代码，meta标签，代码注释等
- 应用入口，执行路径等，要了解站点结构
- web应用框架，JQuery，vue，django，Spring，Struts2，Hibernate等
- 定位应用框架，需要了解整个web应用的框架，画出应用的架构拓扑图
2、配置以及部署管理测试
web环境：操作系统、web服务器、web容器、开发框架、编程语言等
- 对网络和基础设施的配置测试
- web服务器本身的配置测试
- 文件上传以及路径爆破
- 旧文件、备份文件、未引用文件、隐藏文件、临时文件、特殊后缀文件，old、bak
- 枚举管理员入口
- 枚举http方法
- 强制执行使用https
- 分析跨域测试
3、身份鉴别管理测试
登录：身份、认证、授权
认证方式：密码、PIN、工卡、钥匙、指纹、虹膜、签名等
授权方式：DAC（自主访问控制）、MAC（强制访问控制）、RBAC（基于角色的访问控制）、ABAC（基于属性的访问控制）
- 了解角色，基于角色的访问控制RBAC
- 测试注册流程，用户角色分配处理流程
- 用户名枚举，部分弱用户名策略
- 检测guest用户、匿名用户等，测试这些账户的权限
- 账户的暂停和恢复
4、认证测试
怎么证明你是你【狗头】，需要了解认证机制
- 认证传输是否加密，是否不通过https进行认证
- 系统是否有默认凭证，新账户是否有默认密码
- 检测认证过程锁定机制
- 检测认证绕过
- 客户端如何记住密码
- 浏览器缓存
- 弱密码策略检测
- 弱安全问题及答案
- 密码更改和重置检测
- 非客户端与服务端直接交互的认证方式检测，如手机验证码，手机令牌等
5、授权测试
授权测试以会话为中心
- 测试目录遍历/文件包含，判断能否查看无权限查看的东西
- 绕过授权机制，首先要了解如何授权
- 测试越权，分为水平越权和垂直越权，user修改admin信息属于垂直越权，user1修改user2信息属于水平越权
- IDOR，不安全的直接对象引用，引用了不属于自己的对象，如student引用了teacher的id（也可以看作是一个水平越权）
6、会话管理测试
CSRF：Cross-site request forgery，跨站请求伪造，网站用户提交了未经授权的命令，通过跨站请求伪造，网站应用程序信任这些命令。
会话固定、会话退出、会话超时等等
- 会话机制绕过，会话id预测，爆破，劫持等
- 检测cookie是否带有http only和secure属性
- 会话id是否被加密，是否通过get传输，这些都是id可能泄露的途径
- 会话时效性，超时后会话是否依旧有效
- 用户登出后，会话是否有效
- 会话变量重载，即一个对话有多个使用场景
7、输入验证测试
内容很多
8、错误处理测试
输入异常错误，进行测试。
- 检测服务器返回不同状态码时是否存在信息泄露，服务器异常等
- 分析调用栈
9、密码学测试、业务逻辑测试、客户端测试
相对独立，可以独立测试
学习路线
- 网络安全、web安全的一些概念
- 单个漏洞角度学习
- 综合性的web资源
- 安全测试指南解读
多去实践
参考文档
学习资料
- OWASP官网
- owasp-skf单个漏洞讲解
- web-application-security-tools-resources综合性的web安全资源
- 安全测试指南-第四版中文版
本文由 szr 创作，采用 知识共享署名4.0 国际许可协议进行许可
本站文章除注明转载/出处外，均为本站原创或翻译，转载前请务必署名
最后编辑时间为: Sep 15, 2021 at 09:12 am
Wow that was odd. I just wrote an incredibly long comment but after
I clicked submit my comment didn't show up. Grrrr...
well I'm not writing all that over again. Anyway, just wanted to say
superb blog!
ремонт iphone с выездом мастера в москве
|Fashion is more than about just the clothing and accessories. These people fail to understand that bad hair can very easily ruin a great outfit. Make sure you keep your hair looking at its best and use the best products that you can afford to do this.
Though not as cool as the Parra Nike Blazer that the dutch artist of the same name produced for Nike in 2019, the Parra Dunk was everywhere at last summer’s ComplexCon. Featuring a distinct soft chenille swoosh over whiter leather with red, pink, and blue accents, the Parra Dunk oozes serious 80s vibes, offering a different take on the SB Dunk and reinvigorating the brand.
Наша группа квалифицированных исполнителей завершена предъявить вам передовые подходы, которые не только обеспечивают надежную защиту от заморозков, но и дарят вашему домашнему пространству изысканный вид.
Мы работаем с самыми современными материалами, подтверждая продолжительный продолжительность службы и замечательные решения. Изолирование наружных поверхностей – это не только сокращение расходов на огреве, но и заботливость о экологической обстановке. Энергосберегающие технологические решения, каковые мы осуществляем, способствуют не только жилищу, но и поддержанию природы.
Самое важное: Утепление стен снаружи услуги у нас стартует всего от 1250 рублей за м2! Это бюджетное решение, которое изменит ваш жилище в фактический душевный уголок с минимальными затратами.
Наши работы – это не всего лишь изоляция, это образование области, в котором всякий аспект отражает ваш личный образ действия. Мы возьмем во внимание все все твои желания, чтобы переделать ваш дом еще еще более уютным и привлекательным.
Подробнее на www.ppu-prof.ru
Не откладывайте занятия о своем квартире на потом! Обращайтесь к квалифицированным работникам, и мы сделаем ваш дом не только теплее, но и моднее. Заинтересовались? Подробнее о наших работах вы можете узнать на официальном сайте. Добро пожаловать в мир благополучия и высоких стандартов.
Наша группа искусных мастеров готова предлагать вам новаторские средства, которые не только ассигнуруют надежную защиту от заморозков, но и подарят вашему домашнему пространству трендовый вид.
Мы работаем с современными средствами, сертифицируя долгосрочный период службы и прекрасные результаты. Теплоизоляция наружных стен – это не только экономия тепла на подогреве, но и ухаживание о природной среде. Энергоспасающие технические средства, какие мы используем, способствуют не только твоему, но и поддержанию природы.
Самое первоочередное: [url=https://ppu-prof.ru/]Утепления стен дома цена работы[/url] у нас начинается всего от 1250 рублей за квадратный метр! Это бюджетное решение, которое изменит ваш жилище в истинный комфортный местечко с минимальными затратами.
Наши достижения – это не только теплоизоляция, это составление пространства, в котором все элемент символизирует ваш уникальный образ действия. Мы берем во внимание все ваши просьбы, чтобы преобразить ваш дом еще более дружелюбным и привлекательным.
Подробнее на [url=https://ppu-prof.ru/]http://www.ppu-prof.ru/[/url]
Не откладывайте труды о своем помещении на потом! Обращайтесь к мастерам, и мы сделаем ваш помещение не только согретым, но и модернизированным. Заинтересовались? Подробнее о наших трудах вы можете узнать на официальном сайте. Добро пожаловать в пространство удобства и качественной работы.
Наша группа профессиональных мастеров проштудирована предоставлять вам передовые средства, которые не только предоставят надежную оборону от холода, но и подарят вашему собственности изысканный вид.
Мы деятельны с последовательными материалами, подтверждая постоянный термин работы и отличные результирующие показатели. Теплоизоляция фронтонов – это не только сокращение расходов на отоплении, но и заботливость о экологической обстановке. Спасательные инновации, которые мы используем, способствуют не только твоему, но и сохранению природной среды.
Самое главное: Утепление стен снаружи цена за м2 у нас открывается всего от 1250 рублей за квадратный метр! Это бюджетное решение, которое метаморфозирует ваш домашний уголок в подлинный уютный корнер с минимальными затратами.
Наши достижения – это не исключительно изоляция, это постройка площади, в где каждый компонент отражает ваш персональный стиль. Мы возьмем во внимание все твои запросы, чтобы осуществить ваш дом еще более уютным и привлекательным.
Подробнее на https://www.ppu-prof.ru/
Не откладывайте труды о своем корпусе на потом! Обращайтесь к экспертам, и мы сделаем ваш корпус не только теплее, но и модернизированным. Заинтересовались? Подробнее о наших делах вы можете узнать на интернет-портале. Добро пожаловать в универсум гармонии и качественной работы.
}{Create a unique fashion style of your own. It is easy to dress like everyone else, but you should create a style all your own. You have to have a certain kind of personality to pull off fashion forward unique style, but if you try it, you can bask in multiple compliments for being different.
|You can have a dressy look by wearing black jeans and a nice blouse, with heels. If you're wearing the latest trend, colored jeans, it's best to go for a more casual look.
|Before you spend money on extras, make sure you have the essentials covered. Choose items with timeless style and versatility. For example, you might start with a typical black pencil skirt, but change the coordinating shirt or outerwear based on current trends.