《WEB安全性测试测试用例(基础)》由会员分享，可在线阅读，更多相关《WEB安全性测试测试用例(基础)（15页珍藏版）》请在金锄头文库上搜索。
1、建立整体的威胁模型，测试溢出漏洞、信息泄漏、错误解决、SQ 注入、身份验证和授权错误1. 输入验证客户端验证 服务器端验证(禁用脚本调试,禁用Cooki)1.输入很大的数（如4,294,97,269),输入很小的数(负数）输入超长字符,如对输入文字长度有限制,则尝试超过限制,刚好达到限制字数时有何反映3.输入特殊字符,如:!#%（)+:”|4.输入中英文空格,输入字符串中间含空格,输入首尾空格.输入特殊字符串NUL,ul，0x0 0x0a6.输入正常字符串7输入与规定不同类型的字符，如: 规定输入数字则检查正值,负值,零值（正零,负零）,小数,字母，空值; 规定输入字母则检查输入数字8.输入h
2、tml和aacript代码9.对于像回答数这样需检查数字对的性的测试点，不仅对比其与问题最后页的回答数，还要对回答进行添加删除等操作后查看变化例如：.输入htm”ghd,看与否出错；2.输入,看与否浮现文本框;3.输入scitty=”tex/jascip”alert(“提示”)看与否浮现提示。有关上传:1.上传文献与否有格式限制,与否可以上传ex文献；2上传文献与否有大小限制,上传太大的文献与否导致异常错误,上传0的文献与否会导致异常错误,上传并不存在的文献与否会导致异常错误；3.通过修改扩展名的方式与否可以绕过格式限制,与否可以通过压包方式绕过格式限制;.与否有上传空间的限制,与否可以超过空
3、间所限制的大小,如将超过空间的大文献拆分上传与否会浮现异常错误。5上传文献大小不小于本地剩余空间大小，与否会浮现异常错误。6.有关上传与否成功的判断。上传过程中,中断。程序与否判断上传与否成功。7.对于文献名中带有中文字符，特殊字符等的文献上传。下载:1. 避免输入:.web.2. 修改命名后缀。有关UR:1某些需登录后或特殊顾客才干进入的页面,与否可以通过直接输入网址的方式进入；2对于带参数的网址，歹意修改其参数,(若为数字,则输入字母，或很大的数字,或输入特殊字符等）后打开网址与否出错，与否可以非法进入某些页面;3.搜索页面等ul中具有核心字的,输入html代码或JaaScript看与否在
4、页面中显示或执行。4输入善意字符。UBB:rl=htp：/www*.com 你的网站/ul1试着用多种方式输入UB代码，例如代码不完整,代码嵌套等等.2.在UB代码中加入属性，如样式,事件等属性,看与否起作用3.输入编辑器中不存在的B代码,看与否起作用url=javscipt:alert(hl）链接/rleail=javarp:et(ello)EMalealemail= STYL=agnd-img:rl（javascrip:alrt（SS）)mailimgcgound-iae:ur(jvascrip:ert(alert(xss)/imgimgnmosvr=aert（hel);/b STLE=b
5、cgrou-ia: url(at:aer(XSS)一首诗酸涩涩服务网/bi YLE=bacground-imge: ur(javacript:alert(XSS)一二三四五六七北京市一二三四五六七北京市/ufont=微软雅黑STYLE=backgod-mag: url（vascript:aert(XS)一二三四五六七北京市/ontsiz= STE=akgrun-ma: r(javascrp:alrt（S）)一二三四五六七北京市izecolor=edSTLE=background-imae: u(jvascpt:art(SS)一二三四五六七北京市cooralignceterY=bagrn-ima
6、ge：ur(jascrpt:lert(XS)）一二三四五六七北京市/aifoat=eft YLE=bacgrou-iag: url(javascrip:lrt(XSS)）一二三四五六七北京市/foafon=微软雅黑 TYLbacgrund-imag: r(avscit:aert(XS)一二三四五六七北京市/fontsize=4 STYLE=bckgroun-iage: ul(jvasrit:lert(S)一二三四五六七北京市/izecolorRed STYL=backgrun-ge: ul(jascrip：art（SS）一二三四五六七北京市/colraigncener TYL=ackrondm
7、ge: url(javascrt:aler(XSS)一二三四五六七北京市/alignlit*一二三四五六七北京市/istindnt一二三四五六七北京市/indentfloat=left STYLE=backgoudime: u(javascipt:at(SS)一二三四五六七北京市floatmdi=r,400,300,0edia2. 输出编码常用的测试输入语句有：npuype=txt/input/ alert（ello）;/scipt1.pg onousovalert(xss)/scriptalert(x);tp:/;aert(xss);r/ a=a”xss&“”“”“ “”“ ”titl=”对
8、输出数据到输出数据的对比,看与否浮现问题。3. 避免S注入dmn- - ad （ ) xe insert * % chr d nd 1=1 ; And 11 ； aNd1=1 ； car(97)ch(11)char(100) ha(4)car(6)chr(9) ; %20AN%21=and =1 ; And 1 ; aNd 1=1 ;ad 1= ; an =ad 2=2dusr0an (seec cun(*)r syobjct)0and (slect co(*) fomsysobjets)0a (Sele Cunt()fom Admin)=and (selet to le(uerne）from
9、din)0(see已知字段)；exe master.xpmdshel “netsername asword /ad”;eec mtr.xp_mll“net lclgrope adminisraors /add”an 0（selectoun(*) fo admi)简朴的如werextye=，字符U相应的ASCII码是5，因此可以用whrxtyp=ha(8）替代;如果字符是中文的,例如weream=顾客,可以用where nme=char(29992)+char(25143)替代。4. 跨站脚本袭击（SS）对于XSS,只需检查 HTML 输出并看看您输入的内容在什么地方。它在一种 HREF标记中吗
10、？与否在 IFRAME 标记中？它在 CLSI 标记中吗?在 IMG SRC 中吗?某些Fla 内容的 ARAM NAM是如何的?!$&()_,./?；-%Cinut/%3E3Ccrpt%Ealert（S）3C/scriptEnput ytxtnputiput/ art(x)alert(xs)；ert（xs）/siptjavascrit:aert（xss)jvasrt:alert(xss/) =alt(documentoi) 1jgnosover=ar（xs）aaler（xss）；tp:/xx;alert(xss);vr/ a=a”x&scalrt(XSS) %2227 AK%2%20sty%32ackgound:ul（javascript:alr(%27XSS%2）)%220O%22 %22%2Balrt（7XSS%2)%2B% tble bject ype
