网络安全测试

今天易思训小编与大家共享的文章是关于网络安全测试的漏洞类型1.跨站脚本（XSS）XSS又称CSS(CROSSSET)，跨站脚本攻击。指恶意攻击者向WEB插入恶意的html代码，用户浏览该页面时，嵌入其中的html代码被执行，达到恶意用户的特殊目的(钓鱼、盗卡、操纵受害者的浏览器、蠕虫攻击)2.反射型跨站(ReflectedXSS)服务器获得http请求中的参数，未经过滤直接输出到客户端。如果这些参数是脚本，则在客户端执行3.存储型跨站(StoredXSS)用户输入的数据存在于服务器端(一般存在于数据库中)。当其他用户访问某个页面时，该数据未经过滤而直接输出。这些数据可能是恶意脚本，对其他用户造成危害。（挂马常见)在允许上传文件的应用程序中，攻击者上传包括恶意代码的html或者txt文件，用户浏览这些文件执行恶意代码的一般应用程序中上传图像的情况下，如果图像中包含恶意代码的html、或者是ttxt文件的话，低版的IE玩家直接要求这个图像的话，就会忽视Content-Type执行图像中的代码4.DOM跨站（DOM-BasedXSS）攻击者结构了包含恶意Javascript的URL，引导用户要求这个URL。服务器收到请求后并未返回恶意Javascript。浏览器在处理URL中的数据时，执行恶意代码5.跨站求伪（CSRF）强迫受害者的浏览器向一个易受攻击的Web应用程序发送请求,达到攻击者所需要的操作行为。恶意请求会带上浏览器的Cookie。受到攻击的Web应该使用信赖浏览器的Cookie6.SQL注入:用户输入的数据未经验证构建SQL查询句，查询数据库的敏感内容，绕过认证追加、删除、修改数据、拒绝服务7.XML注入和SQL注入原理一样，XML是存储数据的场所，在查询或修改时，如果没有转换，直接输入或输出数据，XML注入脆弱性。攻击者可修改XML数据格式，增加新的XML节点，影响数据处理流程8.URL跳转、Web应用程序接受用户提交的URL参数后，未对参数进行可靠的URL的验证，向用户浏览器返回跳转到该URL的指令。(钓鱼攻击)9.文件系统跨越：文件系统中../代表上级目录，通过一个或多个../跨越目录限制10.系统命令:用户提交的参数用于执行系统命令的参数。使用|或执行多项命令11.文件上传：Web应用程序在处理用户上传的文件时，没有判断文件的扩展名是否在允许的范围内，或者没检测文件内容的合法性，就把文件保存在服务器上，甚至上传脚本到web服务器上，直接控制web服务器。（未限制扩展名、未检查文件内容、病毒文件）12.任意文件下载：下载附件等功能，Apache虚拟目录指，Java/PHP读取文件，下载数据库配置文件等，目录浏览13.权限控制:是否有权限，部分系统不需要权限控制，是否有权限，是否有强大的权限系统，是否有权利偷工减料，URL等级，菜单等级14.访问控制:水平权限网络应用程序接受用户的请求，修改某个数据时，没有判断数据的所有者，或者判断数据的所有者时，从用户提交的request的参数(用户控制数据)中获得数据的所有者的id，恶意攻击者可以通过改变数据的ID或者改变所有者的id来修改不属于自己的数据垂直权限由于web应用程序没有权限控制，或者只在菜单上进行权限控制，恶意用户只要推测其他管理页面的URL，就可以访问或控制其他角色所拥有的数据和页面，达到提高权限的目的.15.Session，Expires会话过期，浏览器过期，服务器30分钟没有过期，服务器24小时强制到期，保持对话