网站安全检测点
在网站制作、成都网站建设过程中,需要针对客户的行业特点、产品特性、目标受众和市场情况进行定位分析,以确定网站的风格、色彩、版式、交互等方面的设计方向。创新互联还需要根据客户的需求进行功能模块的开发和设计,包括内容管理、前台展示、用户权限管理、数据统计和安全保护等功能。
1.检测指标:
1.2密码安全:
描述:判断密码是不是容易被盗取
操作:可以通过浏览器查看是否加密,并将加密作为独立请求进行测试验。 此外晓风后台的登陆没有手机验证码进行验证功能,我们目前系统增加了这块验证使得系统登陆更加安全。
1.3SQL注入检测
描述:检测Web网站是否存在SQL注入漏洞,如果存在该漏洞,***者对注入点进行注入***,可轻易获得网站的后台管理权限,甚至网站服务器的管理权限。
操作:下载acunetix webvulnerability scanner进行扫描检测。
1.4上传漏洞
描述:检测Web网站的上传功能是否存在上传漏洞,如果存在此漏洞,***者可直接利用该漏洞上传***获得WebShell。
操作:检测前台是否有上传的地方,并且检查是否可以上传.asp,.exe甚至其他shell脚步文件
1.5 表单绕过:
描述:如何很多逻辑的验证或者计算只是在表单页面进行,那么***者可以通过绕过页面直接对后台进行数据提交
操作:开发人员需要检测页面的逻辑验证是否在后台都具备相应的操作,并养成好的开发习惯。
1.6 URL非法访问
描述:直接获取网站中某个URL地址,进行浏览器上的访问。
操作:直接拷贝几个带有参数的URL放入到浏览器上进行验证,系统开发上考虑一下是不是拦截有遗漏,特别是我们自己开发的部分以及用于测试的页面。
1.7敏感信息泄露
描述:系统的个人资料应该受到保护,有些系统通过id来查找相应用户资料。
操作:查看系统中是否存在通过id为参数的请求,并随便修改id的数字进行url请求
1.8 XSS跨站脚本。
描述:检测Web网站是否存在XSS跨站脚本漏洞,如果存在该漏洞,网站可能遭受Cookie欺骗、网页挂马等***。
操作:检测所有输入框是否可以输入html的标签,特别是脚步
1.9跨站点请求伪造
描述:跨站点请求伪造***通过强制已登录受害者的浏览器香目标网站发送预认证请求,然后强制受害者浏览器执行有利于***者的行为。
操作:在每个请求页面请求前,自动产生随机数加密串,后台进行解密进行验证。查看是否所有请求都符合这个规则。
1.10 Cookie 欺诈
Cookie欺骗的途径有:
跳过浏览器,直接对通讯数据改写
修改浏览器,让浏览器从本地可以读写任意域名Cookie
使用签名脚本,让浏览器从本地可以读写任意域名Cookie
欺骗浏览器,让浏览器获得假的域名
操作:给cookie加一个时间戳和ip进行加密,具体可以通过查看浏览器的cookie,看是否是加密串。
1.11隐藏目录泄露
描述:出错或者直接敲链接,网站显示出错误信息或者目录,应该用404 这些的错误页面来代替。
操作:检测系统是否测试生产环境,并且检测apache是否会显示目录问题,另外出错信息都用404等错误页面代替。
2. 外部网站检测
360网站的验证
http://webscan.360.cn/
3. 工具检测
http://www.cnblogs.com/lhb25/archive/2012/06/18/8-useful-and-free-web-application-security-testing-tools.html
阿里云系统自带的一些检测工具
分享题目:网站安全检测点
浏览地址:http://pwwzsj.com/article/goidse.html