課程簡介

Web安全性概述

• 2013年十大
• 手機十大2016
• 2016年十大主動控制

• 介紹
  • OWASP測試項目
  • 測試原理
  • 測試技術說明
  • 派生安全測試要求
  • 安全測試集成在開發和測試工作流程中
  • 安全測試數據分析與報告
• OWASP測試框架
  • 概觀
  • 階段1：開發前開始
  • 階段2：定義和設計期間
  • 階段3：發展中
  • 階段4：部署期間
  • 第5階段：維護和操作
  • 典型的SDLC測試工作流程
• Web應用程序安全測試
  • 介紹與目標
  • 測試清單
  • 信息收集
  • 進行搜索引擎發現和信息泄露偵察（OTG-INFO-001）
  • 指紋網絡服務器（OTG-INFO-002）
  • 查看Web服務器圖文文件以獲取信息泄漏（OTG-INFO-003）
  • 枚舉Web服務器上的應用程序（OTG-INFO-004）
  • 審查信息泄漏的網頁注釋和元數據（OTG-INFO-005）
  • 識別應用程序入口點（OTG-INFO-006）
  • 通過應用程序映射執行路徑（OTG-INFO-007）
  • 指紋Web應用程序框架（OTG-INFO-008）
  • 指紋網絡應用（OTG-INFO-009）
  • 地圖應用架構（OTG-INFO-010）
  • 配置和部署管理測試
  • 測試網絡/基礎架構配置（OTG-CONFIG-001）
  • 測試應用平臺配置（OTG-CONFIG-002）
  • 測試文件擴展名處理敏感信息（OTG-CONFIG-003）
  • 查看敏感信息的舊的，備份和未引用的文件（OTG-CONFIG-004）
  • 枚舉基礎架構和應用程序管理界面（OTG-CONFIG-005）
  • 測試HTTP方法（OTG-CONFIG-006）
  • 測試HTTP嚴格傳輸安全（OTG-CONFIG-007）
  • 測試RIA跨域策略（OTG-CONFIG-008）
• 身份管理測試
  • 測試角色定義（OTG-IDENT-001）
  • 測試用戶注冊過程（OTG-IDENT-002
  • 測試帳戶配置過程（OTG-IDENT-003）
  • 帳戶枚舉和可預測的用戶帳戶測試（OTG-IDENT-004）
  • 測試弱或非強制用戶名策略（OTG-IDENT-005）
• 驗證測試
  • 通過加密通道傳輸的證書測試（OTG-AUTHN-001）
  • 測試默認憑據（OTG-AUTHN-002）
  • 弱鎖定機制測試（OTG-AUTHN-003）
  • 測試繞過認證模式（OTG-AUTHN-004）
  • 測試記住密碼功能（OTG-AUTHN-005）
  • 測試瀏覽器緩存弱點（OTG-AUTHN-006）
  • 測試弱密碼策略（OTG-AUTHN-007）
  • 測試弱安全問題/答案（OTG-AUTHN-008）
  • 測試弱密碼更改或重置功能（OTG-AUTHN-009）
  • 在替代頻道（OTG-AUTHN-010）中測試較弱的身份驗證
• 授權測試
  • 測試目錄遍歷/文件包含（OTG-AUTHZ-001）
  • 繞過授權模式的測試（OTG-AUTHZ-002）
  • 特權升級測試（OTG-AUTHZ-003）
  • 不安全直接對象引用測試（OTG-AUTHZ-004）
• 會話管理測試
  • 繞過會話管理模式的測試（OTG-SESS-001）
  • 測試Cookie屬性（OTG-SESS-002）
  • 會話固定測試（OTG-SESS-003）
  • 測試暴露的會話變量（OTG-SESS-004）
  • 跨站點請求偽造（CSRF）測試（OTG-SESS-005）
  • 測試注銷功能（OTG-SESS-006）
  • 測試會話超時（OTG-SESS-007）
  • 測試會話困惑（OTG-SESS-008）
• 輸入驗證測試
  • 反映跨站腳本測試（OTG-INPVAL-001）
  • 測試存儲的跨站腳本（OTG-INPVAL-002）
  • 測試HTTP動詞篡改（OTG-INPVAL-003）
  • 測試HTTP參數污染（OTG-INPVAL-004）
  • SQL注入測試（OTG-INPVAL-005）
  • LDAP注入測試（OTG-INPVAL-006）
  • ORM注射試驗（OTG-INPVAL-007）
  • XML注入測試（OTG-INPVAL-008）
  • SSI注射試驗（OTG-INPVAL-009）
  • XPath注入測試（OTG-INPVAL-010）
  • IMAP / SMTP注入（OTG-INPVAL-011）
  • 代碼注入測試（OTG-INPVAL-012）
    • 本地文件包含測試
    • 遠程文件包含測試
    • 命令注入測試（OTG-INPVAL-013）
    • 緩沖區溢出測試（OTG-INPVAL-014）
    • 測試堆溢出
    • 堆棧溢出測試
    • 測試格式字符串
    • 孵化漏洞測試（OTG-INPVAL-015）
    • HTTP分割/走私測試（OTG-INPVAL-016
• 錯誤處理測試
  • 錯誤碼分析（OTG-ERR-001）
  • 堆棧跟蹤分析（OTG-ERR-002）
• 弱密碼學測試
  • 測試弱SSL / TLS密碼，傳輸層保護不足（OTG-CRYPST-001）
  • 測試填充Oracle（OTG-CRYPST-002）
  • 測試通過未加密通道發送的敏感信息（OTG-CRYPST-003）

• 業務邏輯測試
  • 測試業務邏輯數據驗證（OTG-BUSLOGIC-001）
  • 測試能力（OTG-BUSLOGIC-002）
  • 測試完整性檢查（OTG-BUSLOGIC-003）
  • 測試過程時序（OTG-BUSLOGIC-004）
  • 可以使用功能的測試次數限制（OTG-BUSLOGIC-005）
  • 測試工作流程的規避（OTG-BUSLOGIC-006）
  • 測試防范應用程序誤用（OTG-BUSLOGIC-007）
  • 測試上傳意外文件類型（OTG-BUSLOGIC-008）
  • 測試惡意文件上傳（OTG-BUSLOGIC-009）
• 客戶端測試
  • 測試基于DOM的跨站腳本（OTG-CLIENT-001）
  • JavaScript執行測試（OTG-CLIENT-002）
  • HTML注入測試（OTG-CLIENT-003）
  • 客戶端URL重定向測試（OTG-CLIENT-004）
  • CSS注入測試（OTG-CLIENT-005）
  • 客戶端資源操作測試（OTG-CLIENT-006）
  • 測試跨源資源共享（OTG-CLIENT-007）
  • 跨站點閃爍測試（OTG-CLIENT-008）
  • 劫持測試（OTG-CLIENT-009）
  • 測試WebSockets（OTG-CLIENT-010）
  • 測試Web消息（OTG-CLIENT-011）
  • 測試本地存儲（OTG-CLIENT-012）

報告

• 執行摘要
• 測試參數
• 發現