1、問題：沒有被驗證的輸入
測試方法：
數(shù)據(jù)類型（字符串，整型，實數(shù)，等）
允許的字符集
最小和最大的長度
是否允許空輸入
參數(shù)是否是必須的
重復是否允許
數(shù)值范圍
特定的值（枚舉型）
特定的模式（正則表達式）
2、問題：有問題的訪問控制
測試方法：
主要用于需要驗證用戶身份以及權(quán)限的頁面，復制該頁面的url地址，關(guān)閉該頁面以后，查看是否可以直接進入該復制好的地址
例：從一個頁面鏈到另一個頁面的間隙可以看到URL地址
直接輸入該地址，可以看到自己沒有權(quán)限的頁面信息，
3、錯誤的認證和會話管理
例：對Grid、Label、Tree view類的輸入框未作驗證，輸入的內(nèi)容會按照html語法解析出來
4、緩沖區(qū)溢出
沒有加密關(guān)鍵數(shù)據(jù)
例：view－source：http地址可以查看源代碼
在頁面輸入密碼，頁面顯示的是 *****, 右鍵，查看源文件就可以看見剛才輸入的密碼，
5、拒絕服務
分析：攻擊者可以從一個主機產(chǎn)生足夠多的流量來耗盡狠多應用程序，最終使程序陷入癱瘓。需要做負載均衡來對付。
6、不安全的配置管理
分析：Config中的鏈接字符串以及用戶信息，郵件，數(shù)據(jù)存儲信息都需要加以保護
程序員應該作的： 配置所有的安全機制，關(guān)掉所有不使用的服務，設置角色權(quán)限帳號，使用日志和警報。
分析：用戶使用緩沖區(qū)溢出來破壞web應用程序的棧，通過發(fā)送特別編寫的代碼到web程序中，攻擊者可以讓web應用程序來執(zhí)行任意代碼。
7、注入式漏洞
例：一個驗證用戶登陸的頁面，
如果使用的sql語句為：
Select * from table A where username＝’’ + username+’’ and pass word ……
Sql 輸入 ‘ or 1＝1 ―― 就可以不輸入任何password進行攻擊
或者是半角狀態(tài)下的用戶名與密碼均為：‘or’‘=’
8、不恰當?shù)漠惓Ｌ幚?/strong>
分析：程序在拋出異常的時候給出了比較詳細的內(nèi)部錯誤信息，暴露了不應該顯示的執(zhí)行細節(jié)，網(wǎng)站存在潛在漏洞，
9、不安全的存儲
分析：帳號列表：系統(tǒng)不應該允許用戶瀏覽到網(wǎng)站所有的帳號，如果必須要一個用戶列表，推薦使用某種形式的假名（屏幕名）來指向?qū)嶋H的帳號。
瀏覽器緩存：認證和會話數(shù)據(jù)不應該作為GET的一部分來發(fā)送，應該使用POST，
10、問題：跨站腳本（XSS）
分析：攻擊者使用跨站腳本來發(fā)送惡意代碼給沒有發(fā)覺的用戶，竊取他機器上的任意資料
測試方法：
? HTML標簽：<…>…</…>
? 轉(zhuǎn)義字符：&(&)；<(<)；>(>)； (空格) ；
? 腳本語言：
? 特殊字符：‘ ’ < > /
? 最小和最大的長度
? 是否允許空輸入
? ? ? ? ? 【下面是我整理的2023年最全的軟件測試工程師學習知識架構(gòu)體系圖】
一、Python編程入門到精通
二、接口自動化項目實戰(zhàn)??
三、Web自動化項目實戰(zhàn)
四、App自動化項目實戰(zhàn)?
五、一線大廠簡歷
六、測試開發(fā)DevOps體系?
七、常用自動化測試工具
八、JMeter性能測試?
九、總結(jié)（尾部小驚喜）
生命不息，奮斗不止。每一份努力都不會被辜負，只要堅持不懈，終究會有回報。珍惜時間，追求夢想。不忘初心，砥礪前行。你的未來，由你掌握！
生命短暫，時間寶貴，我們無法預知未來會發(fā)生什么，但我們可以掌握當下。珍惜每一天，努力奮斗，讓自己變得更加強大和優(yōu)秀。堅定信念，執(zhí)著追求，成功終將屬于你！文章來源：http://www.zghlxwxcb.cn/news/detail-607294.html
只有不斷地挑戰(zhàn)自己，才能不斷地超越自己。堅持追求夢想，勇敢前行，你就會發(fā)現(xiàn)奮斗的過程是如此美好而值得。相信自己，你一定可以做到！文章來源地址http://www.zghlxwxcb.cn/news/detail-607294.html
到了這里，關(guān)于WEB安全測試通常要考慮的測試點的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
