WEB安全测试所需的基础知识提纲

第一章：B/S架构体系安全渗透测试基础. （1）介绍HTTP标示URL. （2）HTTP响应状态码. （3）HTTP协议传输内容. （1）HTTP常见认证机制. （2）BASE64编码介绍. （1）拒绝服务攻击基础. （2）Smurf攻击模型. （3）Fraggle攻击模型. （4）SynFlooding攻击模型.

随着 Web 应用越来越广泛，Web 安全威胁日益凸显. 黑客利用网站操作系统的漏洞和  Web 服务程序的 SQL 注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害. 这也使得越来越多的用户关注应用层的安全问题，对 Web 应用安全的关注度也逐渐升温.

Web 网站测试流程和方法（转载）. 进行正式测试之前，应先确定如何开展测试，不可盲目的测试. 一般网站的测试，应按以下流程来进行：. 1）使用HTML Link Validator将网站中的错误链接找出来；. 2）测试的顺序为：自顶向下、从左到右；. 3）查看页面title是否正确. （不只首页，所有页面都要查看）；.

（1） 页面清单是否完整（是否已经将所需要的页面全部都列出来了）. （2） 页面是否显示（在不同分辨率下页面是否存在，在不同浏览器版本中页面是是否显示）. （3） 页面在窗口中的显示是否正确、美观（在调整浏览器窗口大小时，屏幕刷新是否正确）. （4） 页面特殊效果（如特殊字体效果、动画效果）是否显示.

Web性能测试的部分概况一般来说，一个Web请求的处理包括以下步骤：. （2）web server接受到请求，进行处理；. （3）web server向DB获取数据；. （4）webserver生成用户的object(页面)，返回给用户. 给客户发送请求开始到最后一个字节的时间称为响应时间（第三步不包括在每次请求处理中）.

[0day储藏室出品]安全隐患名录-Web. 本文档是基于OWASP TOP 10写成，描述了OWASP TOP 10中所讲到的风险并对其进行风险等级鉴定,漏洞描述,漏洞危害,测试方法,测试过程对系统的影响以及修复方法. 在做项目的过程中，我们所面对的更多的是生产系统，并不是所有的企业都存在测试服务器.

最近框架漏洞频发，struts任意代码执行、Django csrf token防御绕过、Cakephp代码执行等等各大语言编程框架都相继暴出高危漏洞，这说明对于编程框架的安全问题已经逐渐走入安全工作者的视线. Web开发框架就相当于web应用程序的操作系统，他决定了一个应用程序的模型结构和编程风格.

来源： http://www.phpben.com/?post=79. 首先，笔记不是web安全的专家，所以这不是web安全方面专家级文章，而是学习笔记、细心总结文章，里面有些是我们phper不易发现或者说不重视的东西. 在大公司肯定有专门的web安全测试员，安全方面不是phper考虑的范围. 但是作为一个phper对于安全知识是：“ 知道有这么一回事，编程时自然有所注意”.

Web安全原则 1.认证模块必须采用防暴力破解机制，例如：验证码或者多次连续尝试登录失败后锁定帐号或IP. 说明：如采用多次连续尝试登录失败后锁定帐号或IP的方式，需支持连续登录失败锁定策略的“允许连续失败的次数”可配置，支持在锁定时间超时后自动解锁. 2.对于每一个需要授权访问的页面或servlet的请求都必须核实用户的会话标识是否合法、用户是否被授权执行这个操作，以防止URL越权.

‍‍Netsparker是一款综合型的web应用安全漏洞扫描工具，它分为专业版和免费版，免费版的功能也比较强大. Netsparker与其他综合 性的web应用安全扫描工具相比的一个特点是它能够更好的检测SQL Injection和 Cross-site Scripting类型的安全漏洞. * DOM跨站脚本漏洞检测 * 基于Chrome浏览器的Dom解析 * URL重写规则 * 可晒出某些不必要的扫描结果.