軟件測試第五次作業—— 安全測試(含安全測試工具實驗)


                       安全測試

一、概覽

1.常見的Web安全測試類型

2.安全測試工具概述

3.安全測試工具試用(Metasploit

二、常見的Web安全測試類型

1.web安全測試時要考慮的情形:

       (1)數據加密           某些數據要進行加密才能在客戶端和服務器之間進行傳輸

       (2)登錄或身份驗證     對用戶名和密碼進行校驗,防止非法用戶登錄

       (3)輸入驗證           對輸入的內容做一定的限制

       (4)SQL注入            注入某些參數,繞過程序保護,對數據庫服務器進行攻擊

       (5)超時限制           超過一定時長,要重新登錄才能打開其他頁面

       (6)目錄               嚴格設定web服務器的目錄訪問權限

       (7)操作留痕           測試相關信息是否寫入日志文件

2.web安全測試的常用類型

1.跨站腳本(XSS)

     XSS又叫CSS(CROSS SET SCRIPT),跨站腳本攻擊。它指的是惡意攻擊者往WEB頁面里插入惡意的html代碼,當用戶瀏覽該頁面時,嵌入其中的html代碼會被執行,從而達到惡意用戶,特殊目的:(釣魚、盜取cookie、操縱受害者的瀏覽器、蠕蟲攻擊)

2.反射型跨站(Reflected XSS)

服務器端獲取http請求中的參數,未經過濾直接輸出到客戶端。如果這些參數是腳本,它將在客戶端執行(釣魚常見)。

3.存儲型跨站(Stored XSS)

用戶輸入的數據存在服務器端(一般存在數據庫中),其他用戶訪問某個頁面時,這些數據未經過濾直接輸出。這些數據可能是惡意的腳本,對其他用戶造成危害。

4.DOM跨站(DOM-Based XSS)

攻擊者構造一個包含惡意Javascript的URL,然后引誘用戶請求這個URL。服務器收到請求后沒有返回惡意的Javascript。

5.跨站請求偽造(CSRF)

強迫受害者的瀏覽器向一個易受攻擊的Web應用程序發送請求,最后達到攻擊者所需要的操作行為。

6.SQL注入

用戶輸入的數據未經驗證就用來構造SQL,查詢語句,查詢數據庫中的敏感內容,繞過認證添加、刪除、修改數據、拒絕服務。

7.XML注入

    和SQL注入原理一樣,XML是存儲數據的地方,如果在查詢或修改時,如果沒有做轉義,直接輸入或輸出數據,都將導致XML注入漏洞。攻擊者可以修改XML數據格式,增加新的XML節點,對數據處理流程產生影響

8.URL跳轉

    Web應用程序接收到用戶提交的URL參數后,沒有對參數做”可信任URL”的驗證,就向用戶瀏覽器返回跳轉到該URL的指令。(釣魚攻擊)

三、安全測試工具概述

序號 安全測試工具 商用 OR 免費 檢測對象(二進制代碼/源代碼) 簡介
1 Metasploit 免費 源代碼
能夠驗證絕大多數的安全漏洞,還可以進行實際的入侵工作
2 Nessus 商用 源代碼
對本機或者其他可訪問的服務器進行漏洞掃描
3 W3AF 免費 源代碼 web應用安全的攻擊、審計平台
4 Paros proxy 免費 源代碼 基於Java的web代理程序,對web程序漏洞進行評估
5 WebScarab 免費 源代碼 用簡單的形式記錄它觀察到的會話,允許操作員觀察會話
6 Nikto 免費   源代碼    可以對web服務器多種項目進行全面測試
7 Wapiti 免費 源代碼 直接對網頁進行掃描
8 Kismet  免費  無線測試
無線測試
.....        

 

四、安全測試工具的試用    

 Metasploit安全測試工具的試用

1.安裝Metasploit(關閉殺毒軟件)

下載地址:http://downloads.metasploit.com/data/releases/metasploit-latest-windows-installer.exe

 1.1選擇安裝路徑

                                                                     

 

1.2 完成安裝

                                   

                                   

2.啟動Metasploit

   安裝完成后會有一個注冊頁面,完成注冊,在cmd中啟動Metasploit

                 

                 

這時候就啟動好了,可以做一些安全測試

3.測試

    我使用Windows的漏洞ms10-018做了內網的滲透測試

    Metasploit中集成的很多的攻擊模塊通過show命令我們可以查看這些模塊

    show exploits命令

                 

進入這個漏洞

                  

 使用use命令

                 

使用run命令進行滲透

                  

這時候生成了一個URL,復制下來在IE瀏覽器中打開

                  

如果可以的話會生成一個滲透成功的提示,由於我這的IE瀏覽器版本比較高,所以沒辦法滲透進去,后面對靶機的操控也沒做

                                                        

                                      

 

 

 

              


注意!

本站转载的文章为个人学习借鉴使用,本站对版权不负任何法律责任。如果侵犯了您的隐私权益,请联系我们删除。



 
粤ICP备14056181号  © 2014-2020 ITdaan.com