《web安全测试分享课件》由会员分享,可在线阅读,更多相关《web安全测试分享课件(32页珍藏版)》请在金锄头文库上搜索。
1、Web安全测试,2,Web攻击事件数据库漏洞,Web攻击事件暴力攻击,5,Web安全现状,Web安全现状,二、安全漏洞分布相对集中,Web安全现状,OWASP Top 10 大web应用安全风险,应用层的安全原因分析,风险和投资,黑客攻击网站的原因,漏洞多如桌面漏洞、服务器漏洞; 开放性、开源代码多等; 普通用户多,但对安全状况不了解; 攻击越来越容易,成本越来越低; 攻击者可以获的高额利润; 匿名性; 防火墙可绕过性。,12,什么是安全攻击,为了完成某种目的,对目标实行实施进攻的过程 安全测试:模拟黑客可能使用的攻击技术和系统漏洞,对目标系统的安全做深入的探测,发现系统最脆弱的环节。 有人,
2、就有江湖;有江湖,就有安全。,Web攻击本质,Web攻击只不过是用巧妙的方法操纵URI.,安全测试体系,基础结构 输入验证 身份验证 配置管理 敏感数据 会话管理 加密、日志 参数操作 异常处理,16,黑客攻击技术XSS,XSS攻击(Cross-site scripting,简称XSS): 它指的是恶意攻击者往Web页面里插入恶意脚本代码(javascript、vbscript、Actionscript等)当用户浏览该页之时,嵌入其中Web里面的脚本代码会被执行,从而达到恶意攻击用户的特殊目的。,XSS攻击原理,XSS测试方法,iptalert(document.cookie) “< sc
3、ript > alert(document.cookie “%3e%3cscript%3ealert(document.cookie)%3c/script%3e,XSS危害,盗取各类用户帐号,如机器登录帐号、用户网银帐号、各类管理员帐号 控制企业数据,包括读取、篡改、添加、删除企业敏感数据的能力 盗窃企业重要的具有商业价值的资料 非法转账 强制发送电子邮件 网站挂马。 控制受害者机器向其它网站发起攻击,黑客攻击技术 SQL注入,SQL 注入攻击包括通过输入数据从客户端插入或“注入”SQL查询到应用程序。一个成功的SQL 注入攻击可以从数 据库中获取敏感数据、修改数据库数据(插入/更新/删除
4、)、执行数据库管理操作(如关闭数据库管理系统)、恢复存在于数据库文件系统中的指定文件内容,在某些情况下对操作系统发布命令。SQL 注入攻击是一种注入攻击。它将SQL 命令注入到数据层输入,从而影响执行预定义的SQL 命令。,SQL注入原理,原理:从理论上说,认证网页中有形如: select * from admin where username=XXX and password=YYY 的语句,若在正式运行此句之前,没有进行必要的字符过滤,则很容易实施SQL注入。 如在用户名文本框内输入:abc or 1=1- 在密码框内输入:123 则SQL语句变成: select * from admin
5、 where username=abc or 1=1 and password=123,SQL注入实例,黑客攻击技术暴力破解,暴力攻击:主要针对用户名和密码: 软件口令破解工具依赖于两种技术: (1)字典攻击。 (2)暴力攻击。 破解方式: 广度和深度破解 主要工具:Brutus 、Hydra等。,黑客攻击手段路径遍历攻击,攻击目标是Web服务器上的模板或其它可供入侵参考的文件,基本模式是跳出Web文档的根目录,从而能访问系统文件,如”././././././././././././boot.ini”就期望 访问到服务器上的boot.ini文件。,路径遍历攻击测试方法,测试URL; http:/badou/scripts/.%u00255c./winnt/system32/cmd.exe?/c+dir+d:; badou是任意一台(未打补丁的) Windows 2000主机的IIS服务器; 返回结果; 目标主机D盘下的文件目录。,利用路径遍历列目录,黑客攻击手段参数篡改攻击,篡改参数:指篡改在浏览器与网站应用程序之间传递的参数。 攻击思路: 篡改cookie; 篡改HTTP Header; 篡改HTML form field(隐藏参数); 篡改URL。,参数篡改测试方法,30,内容回顾,31,Q&A,谢谢大家!,