web安全测试内容

article/2025/10/2 7:39:14

一. 首先你得了解Web

Web分为好几层，一图胜千言：

 


事实是这样的： 如果你不了解这些研究对象是不可能搞好安全研究的。

这样看来，Web有八层（如果把浏览器也算进去，就九层啦，九阳神功……）！！！每层都有几十种主流组件！！！这该怎么办？
别急，一法通则万法通，这是横向的层，纵向就是数据流啦！搞定好数据流：从横向的层，从上到下→从下到上，认真看看这些数据在每个层是怎么个处理的。

数据流中，有个关键的是HTTP协议，从上到下→从下到上的头尾两端（即请求响应）；通过百度/Google一些入门的HTTP协议，大概了解，然后Chrome浏览器F12实际看看“Network”标签里的HTTP请求响应，不出几小时，就大概知道HTTP协议这玩意了。（这是快速研究的精髓啊）

搞明白HTTP协议后，你就会明白安全术语的“输入输出”。

黑客通过输入提交“特殊数据”，特殊数据在数据流的每个层处理，如果某个层没处理好，在输出的时候，就会出现相应层的安全问题。

搞懂这些，就算入门啦。

记好：一切的安全问题都体现在“输入输出”上，一切的安全问题都存在于“数据流”的整个过程中。

记好：“数据流”、“输入输出”这两个关键点。

 

二、web网站系统架构

 

从上面网站的架构来看，web的安全主要存在于：客户端浏览器、web前端安全、web后端安全、服务器操作系统安全、数据库安全

 

三、web测试关注点

Web应用可以按照下面的方案进行安全测试，这个方案是一个全方位的安全审计，列出目录，具体的测试工具和方法可以根据项目自行搜索确定

测试对象：服务器（宿主机）、Servlet容器，数据库，第三方服务及接口、Web应用程序（各种处理动态请求的文件.ASP  .php JSP等等）

1、应用程序的部署环境（服务器）：

操作系统用户名密码强度

操作系统用户、用户组及权限设置

系统漏洞及补丁

系统端口安全

应用部署环境目录及文件安全

防火墙及网络端口设置

2、数据库：
数据库服务器版本及漏洞

用户名

密码设置

数据库用户权限设置及授权设置

数据库服务器端口及网络连接设置

3、web应用安全测试：

sql注入

表单漏洞

cookie欺骗

session测试

日志文件测试

跨站攻击（ZAP）

认证及会话攻击（Hackbar）

不安全对象直接引用攻击(Burp)

CSRF(Tamper Data)

4、第三方服务及接口

系统/服务版本及漏洞
安全性配置测试
数据传输安全性测试
数据合法性测试
数据完整性测试

 

转载于:https://www.cnblogs.com/nianyuxue/p/7792510.html


http://chatgpt.dhexx.cn/article/tyDpR7I6.shtml

相关文章

解决报错RuntimeError: set_sizes_and_strides is not allowed on a Tensor created from .data or .detach().

解决报错RuntimeError: set_sizes_and_strides is not allowed on a Tensor created from .data or .detach().

完整报错信息如下 RuntimeError: set_sizes_and_strides is not allowed on a Tensor created from .data or .detach(). If your intent is to change the metadata of a Tensor (such as sizes / strides / storage / storage_offset) without autograd tracking the change…
阅读更多...
基于keras的卷积神经网络（CNN）

基于keras的卷积神经网络（CNN）

1 前言 本文以MNIST手写数字分类为例，讲解使用一维卷积和二维卷积实现 CNN 模型。关于 MNIST 数据集的说明，见使用TensorFlow实现MNIST数据集分类。实验中主要用到 Conv1D 层、Conv2D 层、MaxPooling1D 层和 MaxPooling2D 层，其参数说明如下…
阅读更多...
Grad strides do not match bucket view strides.This may indicate grad was not created according to th

Grad strides do not match bucket view strides.This may indicate grad was not created according to th

家人们来看看是不是报这个 warning: [W reducer.cpp:283] Warning: Grad strides do not match bucket view strides. This may indicate grad was not created according to the gradient layout contract, or that the params strides changed since DDP was constructed.…
阅读更多...
Python多维数组跨度strides（学习笔记）

Python多维数组跨度strides（学习笔记）

Python多维数组跨度 今天就来搞明白有关于多维数组的跨度 strides的知识 先构建一个四位数组： arrnp.arange(1,25.0).reshape(2,2,2,3) print(轴(维度):,arr.ndim) arr分析：arange(1,25.0)是1~24共24个数字，注意到25.0是float类型 再来看看…
阅读更多...
RuntimeError: sparse tensors do not have strides

RuntimeError: sparse tensors do not have strides

这是一个可以复现的问题。 归根结底在于 torch不支持Sparse与Sparse的矩阵乘法(mm)。 也不支持Dense 与 Sparse的矩阵乘法。 只支持Sparse与Dense的矩阵乘法。 torch.mm是消边的矩阵乘法，mm matrix multiply。 而torch.mul是同形矩阵的element-wise点乘。 所谓s…
阅读更多...
Warning: Grad strides do not match bucket view strides pytorch利用DDP报错

Warning: Grad strides do not match bucket view strides pytorch利用DDP报错

遇到报错： [W reducer.cpp:362] Warning: Grad strides do not match bucket view strides. This may indicate grad was not created according to the gradient layout contract, or that the param’s strides changed since DDP was constructed. This is not a…
阅读更多...
Python ndarray.strides用法

Python ndarray.strides用法

用法 ndarray.strides: 跨越数组各个维度所需要经过的字节数元组 a np.array([[10,2,4],[3, 4,11]],dtypenp.int32) print(a.strides) #(12,4) 12表示在内存中a[n, 0]到a[n1, 0]跨过多少byte; 4表示在内存中a[n, 0]到a[n, 1]跨过多少byte# 查看数组a所有元素占用内存大小&…
阅读更多...
神经网络：CNN中的filter，kernel_size，strides，padding对输出形状的影响

神经网络：CNN中的filter，kernel_size，strides，padding对输出形状的影响

输入数据在经过卷积层后，形状一般会发生改变，而形状的变化往往与以下四个超参数有关。 1，filter（out_channel） 该超参数控制着输入数据经过卷积层中需要与几个卷积核进行运算，而输入数据与每个卷积核进行…
阅读更多...
tf.keras.layers.Conv2D用法总结

tf.keras.layers.Conv2D用法总结

概述 tf.keras.layers.Conv2D()函数用于描述卷积层。 用法 tf.keras.layers.Conv2D(filters, kernel_size,strides(1, 1), paddingvalid, data_formatNone,dilation_rate(1, 1), activationNone )1.filter：卷积核的个数 2.kenel_size：卷积核尺寸&…
阅读更多...
CNN中stride（步幅）和padding（填充）的详细理解

CNN中stride（步幅）和padding（填充）的详细理解

步幅：卷积核经过输入特征图的采样间隔 填充：在输入特征图的每一边添加一定数目的行列，使得输出的特征图的长、宽 输入的特征图的长、宽 两个参数的核心： 设置步幅的目的：希望减小输入参数的数目，减少计…
阅读更多...
java输出(java输出语句快捷键)

java输出(java输出语句快捷键)

java最简单的输入输出 java输出语句怎么写 去百度文库，查看完整内容> 内容来自用户:白岸海歌 System.out.print ——标准输出流 Java的流类，主要是：输入流类InputStream输出流类OutputStream Java系统预先定义好3个流对象，静态…
阅读更多...
Java程序入口+输出语句+数据类型

Java程序入口+输出语句+数据类型

一（Java程序入口）：要想执行一个java程序，就必须有一个程序入口，且该入口为固定格式：public static void main（String[ ] args）{}。注意：是main而不是mian，Str…
阅读更多...
JAVA 循环控制语句以及输入输出

JAVA 循环控制语句以及输入输出

JAVA 循环控制语句以及输入输出 顺序结构分支结构if 语句switch 语句 循环结构while 循环for 循环do while 循环 输入输出输出到控制台从键盘输入 JAVA 里的程序控制语句主要分为顺序结构、分支结构（选择）和循环结构。 顺序结构 顺序结构比较简单&#x…
阅读更多...
JAVA输出语句及变量

JAVA输出语句及变量

文章目录 语句输出在.java文件里一共能存在2样东西;注释的分类:变量标识符变量名的命名规范: 语句输出 格式一:println.带有换行效果 格式二:print.不带换行效果 (语句是程序执行的最小单元,是以"；"结束的.) “ System.out.println();”输入快捷方法…
阅读更多...
java的打印语句_java打印输出语句是什么？

java的打印语句_java打印输出语句是什么？

打印输出语句有：换行打印“System.out.println();”，不换行打印“System.out.print();”，字节输出“System.out.write();”，按格式输出“System.out.printf();”。 Java中的输出语句有以下四种：System.out.println(111…
阅读更多...
Java输入/输出

Java输入/输出

File类文本（Text）输入/输出 输出用PrintWriter类try-with-resources来自动关闭资源用Scanner来读取文本流式处理文本文件和二进制文件 二进制（Binary）文件输入/输出 二进制输入/输出到文件FilterInputStream/FilterOutputStream D…
阅读更多...
Java输入输出

Java输入输出

源代码见：点击打开链接 引言：在平时java开发中，被输入输出搞得头疼。特此写下这篇博客，一是为了总结输入输出，二是为了和大家分享。如果大家觉得写得好，就请高抬贵手点个赞呗！！&…
阅读更多...
JAVA的输入输出

JAVA的输入输出

1.Java的输出 System,out,println(); //输出且换行 System.out.print(); //输出不换行 System.out.printf(); //提供字符格式化 示例 class Output{public static void main(String args[]){System.out.println("1.println");System.out.println("2.println&qu…
阅读更多...
[JAVA]java中的打印输出语句

[JAVA]java中的打印输出语句

java中的打印语句分为三种： System.out.print(); System.out.println(); System.out.printf(); 1.System.out.print(); 打印在引号里的字符串 int x 5; System.out.print("今天是周" x); 打印结果： 2.System.out.println(); 和print…
阅读更多...
java怎么完成输出语句

java怎么完成输出语句

我们在前面的文章和案例中，其实早就知道Java是如何实现输出功能的了。没错，就是利用System.out.println()语句来实现的！接下来壹哥就给大家详细解读一下这个语句的作用及其含义。 1. System 我们先来看看System是个什么东东。 System是Jav…
阅读更多...
推荐文章

Copyright @ 2022~2023