对网站安全性测试的看法

阅读  ·  发布日期 2017-10-28  ·  新乡网站建设
从事网站建设已经很多年了,对于一个完整的web安全体系测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、绘画管理、加密、参数操作、一场管理、审核以及日志记录等多个方面入手。下面新乡网站建设就来分享一下对于网站安全性测试的一点想法。
数据加密:有写数据是需要进行信息的加密以及过滤之后才能进行数据传输的,比如用户信息,用户的登录帐号以及密码等,所以此时需要进行其他的操作,储存数据、解密发送要用户的电子邮箱或者客户的浏览器,如前的加密算法是越来越多了,但是一般数据加密的过程是可逆的,也就是说可以进行加密,同时也需要解密。
登录:一般的应用站点都会使用登录或者注册后使用的方式,因此,必须对用户名和匹配的密码进行校验,以阻止非法用户登录。在进行登陆测试的时候,需要考虑输入的密码是否对大小写敏感、是否有长度和条件限制,最多可以尝试多少次登录,哪些页面或者文件需要登录后才能访问/下载等。
超时限制:WEB应用系统需要有是否超时的限制,当用户长时间不作任何操作的时候, 需要重新登录才能使用其功能。
SSL:越来越多的站点使用SSL安全协议进行传送。SSL是Security Socket Lauer(安全套接字协议层)的缩写,是由Netscape首先发表的网络数据安全传输协议。SSL是利用公开密钥/私有密钥的加密技术。(RSA),在位于HTTP层和TCP层之间,建立用户与服务器之间的加密通信,确保所传递信息的安全性。SSL是工作在公共密钥和私人密钥基础上的,任何用户都可以获得公共密钥来加密数据,但解密数据必须要通过相应的私人密钥。进入一个SSL站点后,可以看到浏览器出现警告信息,然后地址栏的http变成 https,在做SSL测试的时候,需要确认这些特点,以及是否有时间链接限制等一系列相关的安全保护。
服务器脚本语言:脚本语言是常见的安全隐患。每种语言的细节有所不同。有些 脚本允许访问根目录。其他只允许访问邮件服务器,但是经验丰富的黑客可以将服务器用户名和口令发送给他们自己。找出站点使用了哪些脚本语言,并研究该语言的缺陷。还要需要测试没有经过授权,就不能在服务器端放置和编辑脚本的问题。最好的办法是订阅一个讨论站点使用的脚本语言安全性的新闻组。
注:黑客利用脚本允许访问根目录的这个安全隐患特性攻击网站。这个网站包含了脚本代码(有允许访问根目录的特性)就可能有这个安全隐患。
日志文件:在服务器上,要验证服务器的日志是否正常工作,例如CPU的占用率是否很高,是否有例外的进程占用,所有的事务处理是否被记录等。
目录:web的目录安全是不容忽视的一个因素。如果WEB程序或WEB服务器的处理不适当,通过简单的URL替换和推测,会将整个WEB目录完全暴露给用户,这样会造成很大的风险和安全性隐患。我们可以使用一定的解决方式,如在每个目录访问时有index.htm,或者严格设定WEB服务器的目录访问权限,将这种隐患降低到最小程度。



  • 本文标题:对网站安全性测试的看法
  • 本文链接:https://leyun.net.cn/news/jianshe/2422.html

  • 更多有关新乡 网站建设网站设计网站制作网站优化微信营销开发营销型网站建设等互联网应用服务都可以联系我们! 点击联系乐云网络
    声明:本站部分文章信息来源于网络转载,只是出于传递更多信息之目的,并不意味赞同其观点或对其内容的真实性负责。版权归原作者所有,如有侵权请立即与我们联系,我们将及时处理。