OWASP安全測試checklist

信息收集測試

  • 搜索引擎信息收集
  • Web服務(wù)器指紋識別
  • Web服務(wù)器元文件信息泄漏
  • 枚舉Web服務(wù)器的應(yīng)用
  • 注釋和元數(shù)據(jù)信息泄漏
  • 識別應(yīng)用的入口
  • 映射應(yīng)用程序的執(zhí)行路徑
  • 識別Web應(yīng)用框架
  • 識別Web應(yīng)用程序
  • 映射應(yīng)用架構(gòu)

配置管理測試

  • 忘了和基礎(chǔ)設(shè)施配置測試
  • 應(yīng)用平臺配置測試
  • 敏感信息文件擴展處理測試
  • 對舊文件、備份和未被引用文件的敏感信息的審查
  • 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面
  • HTTP方法測試
  • HTTP強制安全傳輸測試
  • RIA跨域策略測試

身份管理測試

  • 角色定義測試
  • 用戶注冊流程測試
  • 賬戶配置過程測試
  • 賬戶枚舉和可猜測的用戶賬戶測試
  • 弱的或未實施的用戶策略測試

認證測試

  • 憑證在加密通道中的傳輸測試
  • 默認用戶憑證測試
  • 弱鎖定機制測試
  • 認證模式繞過測試
  • 記憶密碼功能存在威脅測試
  • 瀏覽器緩存威脅測試
  • 弱密碼策略測試
  • 弱安全問答測試
  • 弱密碼的更改或重設(shè)功能測試
  • 在輔助信道中較弱認證測試

授權(quán)測試

  • 目錄遍歷/文件包含測試
  • 繞過授權(quán)模式測試
  • 權(quán)限提升測試
  • 不安全對象引用測試

會話管理測試

  • 會話管理架構(gòu)繞過測試
  • Cookie屬性測試
  • 會話固定測試
  • 會話變量泄漏測試
  • 跨站請求偽造CSRF測試

輸入驗證測試

  • 反射型跨站腳本測試
  • 存儲型跨站腳本測試
  • HTTP方法篡改測試
  • HTTP參數(shù)污染測試
  • SQL注入測試
  • LDAP測試
  • ORM注入測試
  • XML注入測試
  • SSI注入測試
  • XPath注入測試
  • IMAP/SMTP注入測試
  • 代碼注入測試
  • 命令注入測試
  • 緩沖區(qū)溢出測試
  • 潛伏式漏洞測試
  • HTTP拆分/走私測試

錯誤處理測試

  • 報錯信息測試
  • 堆棧軌跡測試

加密體系脆弱性測試

  • SSL/TLS弱加密、傳輸層協(xié)議缺陷測試
  • Padding Oracle攻擊測試
  • 通過未加密信道發(fā)送敏感數(shù)據(jù)測試

業(yè)務(wù)邏輯測試

  • 業(yè)務(wù)邏輯數(shù)據(jù)驗證測試
  • 偽造請求的測試
  • 完整性檢查的測試
  • 處理耗時測試
  • 功能使用次數(shù)限制
  • 工作流程逃逸的測試
  • 防御應(yīng)用程序濫用測試
  • 意外文件類型上傳測試
  • 惡意文件上傳測試

客戶端測試

  • 基于DOM的跨站腳本測試
  • JavaScript執(zhí)行測試
  • HTML注入測試
  • 客戶端URL重定向測試
  • CSS注入測試
  • 客戶端資源處理測試
  • 跨域資源共享測試
  • 跨站Flash測試
  • 點擊劫持測試
  • WebSocket測試
  • Web消息測試
  • 本地存儲測試
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時請結(jié)合常識與多方信息審慎甄別。
平臺聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點，簡書系信息發(fā)布平臺，僅提供信息存儲服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

友情鏈接更多精彩內(nèi)容