web系统安全性文性是个比较宽泛的概念，常见的测试关注点以目录设置、口令验证、授权登录、日志文件、Session与Cookie安全、异常操作、SQL注入、跨站脚本攻击XSS、跨站请求伪造CSRF等为主。 1：目录设置 目录设置对系统的安全性而言非常关键，一般认为在一些系统中通过某些小手段总能看到本不该展示的数据信息。例如：通过某些小手段总能看到本不该完成展...
一、安装包测试 1.1 关于反编译 目的是为了保护公司的知识产权和安全方面的考虑等，一些程序开发人员会在源码中硬编码一些敏感信息，如密码。而且若程序内部一些设计欠佳的逻辑，也可能隐含漏洞，一旦源码泄漏，安全隐患巨大。 为了避免这些问题，除了代码审核外，通常开发的做法是对代码进行混淆，混淆后源代码通过反软件生成的源代码是很难读懂的，测试中，我们可以...
1，忘记密码-修改密码功能，前段发送验证码到收集字段，未验证手机号和被修改用户的账号是否同一个账户造成的 2，通过brupsuite抓包到的信息可以看到（这个是验证发送用户信息的请求），修改了RU(修改为已绑定手机号的我的账户RU),,该字段是用户的系统账号的加密编码 3,验证码信息会发送到这个系统我的手机上，然后提交验证码信息，就可以通过校验，达到修...
测试思路： 对WEB做个简单的安全测试，主要是针对URL的测试。 回想起来，这次测试本质可以归为“权限”的测试，如下： 案例1： 1、分别开两个浏览器，以两个不同的帐号登陆web后台 2、第一个浏览器中，以其中一个帐号的身份，查看帐号自身相关页面的敏感信息，数据等 3、复制另一个用户的访问链接到另一个浏览器，以另一个帐号的身份打开，查看，如果页面有相关操作...
ProtoBuf介绍 protocol buffers 是一种语言无关、平台无关、可扩展的序列化结构数据的方法，它可用于（数据）通信协议、数据存储等。 Protocol Buffers 是一种灵活，高效，自动化机制的结构数据序列化方法－可类比 XML，但是比 XML 更小（3 ~ 10倍）、更快（20 ~ 100倍）、更为简单。 因此具有以下特点： 语言...
1.引言网络安全已成为人们日益关注的重要问题。据CNCERT/CC2007年网络安全工作报告的统计，近年来漏洞数量呈现明显上升趋势，不仅如此，新漏洞从公布到被利用的时间越来越短，黑客对发布的漏洞信息进行分析研究，往往在极短时间内就能成功利用这些漏洞。除了利用已知漏洞，黑客们也善于挖掘并利用一些尚未公布的漏洞，发起病毒攻击，或出售漏洞资料，满足经济目的。相对...
1 定义 渗透测试 (penetration test)并没有一个标准的定义，国外一些安全组织达成共识的通用说法是：渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。 我们认为渗透测试还具...
一、前言 目前在业界有很多自动化检测APP安全性的在线扫描平台。为了了解目前国内移动APP在线漏洞扫描平台的发展情况，我进行了一次移动安全扫描平台的评测分析；主要从漏洞项对比、扫描能力对比以及扫描结果这三个方向来对比。 希望此次的调研结果可以为读者提供更加可靠的安全漏洞扫描服务建议。 二、分析对象 这一章主要介绍需要对比的扫描平台和需要测试的APP样本。...
[转贴]软件产品测试标准 软 件 产 品 测 试 标 准 国际标准 • ISO/IEC 17025 General requirements for the competency of testing and calibration laboratories • ISO/IEC 14598 Software Engineering-Product...
本文章仅供学习参考，技术大蛙请绕过。 最近一直在想逛了这么多博客、论坛了，总能收获一堆干货，也从没有给博主个好评什么的，想想着实有些不妥。所以最近就一直想，有时间的时候自己也撒两把小米，就当作是和大家一起互相学习，交流一下吧。（注：本文章仅用于技术交流和学习，请勿用于非法用途。） 暴力破解简介：暴力破解大致可以分为两大类，一类是基于Web表单的，...