测试过程中常见的安全测试漏洞（可手动测试）手机号注册「测试过程中常见的安全测试漏洞（可手动测试）」

一、Web安全漏洞：

1、跨站脚本攻击XSS：Cross Site Scripting，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS

恶意攻击者往Web页面里插入恶意script代码，当用户浏览该页面时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。在不同场景下，XSS有相应不同的表现形式，主要分为反射型、存储型、DOM型的跨站脚本攻击，所造成的映像主要是窃取用户的登录凭证（Cookies）、挂马攻击、页面访问挟持等

手工测试：

1.1、反射型XSS测试：（相当于get请求页面：url里面输入）对提交页面的各个参数依次进行SQL注入测试，判定是否存在注入

比如正常访问的地址是   http://www.ccc.com/xss.jsp?id=1&name=2，依次对2个参数进行XSS测试

1.1.1、提交   http://www.ccc.com/xss.jsp?id=1”><script>alert(/xxx/)</script><!--&name=2，根据返回页面是否弹出包含xxx字符串的窗口判断是否存在反射型XSS

1.1.2、提交   http://www.ccc.com/xss.jsp?id=1&name=

对用户所有输入的数据进行过滤，在输入页面就进行拦截处理，就尽量不要进入到数据库层面进行交互了。例如："<" ">"、"script"的关键字等

手工测试：对文件上传页面进行测试

2.1、直接上传（上传格式进行客户端校验）：在上传过程中，直接选择动态脚本后缀的文件，如asp、php、jsp、aspx等文件格式，观察是否上传成功

2.2、绕过JS上传（上传格式进行服务器端校验）：可以用charles或burpsuite工具进行测试，详细使用方法可百度或看我抓包工具的博客

当上传页面在前端采用javascript进行文件后缀限制时，可通过HTTP抓包工具进行改包上传，将文件后缀修改为动态脚本后缀并上传提交，如果响应中显示上传成功，并且数据库里也多了一条材料数据，则需要修改

 

2.3、截断后缀上传：上传处理将识别到%00，并对后缀.png截断删除，如果最终显示微信.aspx文件上传成功，并且数据库里新增了数据，则需要修改

部分上传功能在对后缀名进行验证时存在缺陷，导致在文件写入过程中产生错误，导致可通过十六进制截断符（%00）对后缀进行截断

比如上传一个文件360.asp%00.jpg，上传处理时检测到%00并对.jpg字符串进行截断删除，最终导致360.asp动态脚本成功上传到了服务器

 

 

 

2.4、不允许绕过Content-Type检查上传：只识别了文件类型，并没有看文件格式，导致可通过改包的方式上传动态脚本到服务器上

 

 

 

 

 

手工测试：

手工/工具测试：

手工测试：

手工测试: