软件测试技术教学课件作者林连进第九章.ppt

图９ －１６４　身份识别 返回 图９ －１６５　解压 返回 图９ －１６６　转换格式 返回 图９ －８９ 查看ｊａｒ 文件中的代码 返回 图９ －９０　ＪＤ － ＧＵＩ 的界面 返回 图９ －９９　高级有哪些信誉好的足球投注网站方法 返回 图９ －１００　下载两个文件 返回 图９ －１０１　“运行” 窗口 返回 图９ －１０２　输入内容 返回 图９ －１０４　安装框架 返回 图９ －１０５　回编译 返回 图９ －１３０　权限示意 返回 图９ －１３１　拦截并修改用户Ｂ 的数据包 返回 图９ －１３２　越权查看“角色列表” 返回 图９ －１３５　水平越权示意 返回 图９ －１３６　创建商机 返回 图９ －１３７　操作历史 返回 图９ －１３８　测试 返回 图９ －１３９　数据库错误 返回 图９ －１４０　返回包 返回 图９ －１４１　使用工具ＳＱＬＭＡＰ 返回 图９ －１４７　测试情况 返回 图９ －１４８　将日报发送给目标对象 返回 图９ －１４９　打开日志(续) 返回 图９ －１５０ 获取Ｃｏｏｋｉｅ 信息 返回 图９ －１５３　ＣＳＲＦ 的原理 返回 图９ －１５４查看当前发布的课程讨论 返回 图９ －１５５　“ｓｔｕ. ｄｉｓｃｕｓｓ. ａｄｄ. ｈｔｍｌ” 的代码 返回 图９ －１５６　再次查看课程讨论 返回 图９ －１５７　新增的课程讨论 返回 图９ －１５８　抓取下单的数据包 返回 图９ －１５９　大量下单操作 返回 图９ －１６０　具体管理过程(Ｓｅｓｓｉｏｎ) 返回 图９ －１６２　具体过程(ｔｏｋｅｎ － ｂａｓｅｄ) 返回 图９ －１６３　获取到的ｔｏｋｅｎ 返回 图９ －１　安装步骤(１) 返回 图９ －２　安装步骤(２) 返回 图９ －３　安装步骤(３) 返回 图９ －４　安装步骤(４) 返回 图９ －５　安装步骤(５) 返回 图９ －６　启动ＡＷＶＳ 返回 图９ －７“Ｓｃａｎ Ｔｙｐｅ” 选项 返回 图９ －１３　开始扫描 返回 图９ －１４　扫描结果 返回 图９ －１５　显示详细信息 返回 图９ －１６　威胁等级 返回 图９ －１８　下载ＡｐｐＳｃａｎ 返回 图９ －１９　安装ＡｐｐＳｃａｎ 返回 图９ －２０　ＡｐｐＳｃａｎ 图标 返回 图９ －４４　运行安装程序 返回 图９ －４５　选择安装路径 返回 图９ －４６　安装成功 返回 图９ －４７ 开启ＨＴＴＰＳ 流量解密 返回 图９ －４８　忽略特定主机的流量解密 返回 图９ －４９　配置Ｗｉｎｄｏｗｓ 客户端信任Ｆｉｄｄｌｅｒ 根证书 返回 图９ －５６　单击“ＦｉｄｄｌｅｒＲｏｏｔ ｃｅｒｔｉｆｉｃａｔｅ” 链接 返回 图９ －５７　勾选“Ａｌｌｏｗ ｒｅｍｏｔｅ ｃｏｍｐｕｔｅｒｓ ｔｏ ｃｏｎｎｅｃｔ” 复选框 返回 图９ －５８　查看ＩＰ 地址 返回 图９ －５９　将“Ａｕｔｈｅｎｔｉｃａｔｉｏｎ” 设置为“ＯＦＦ” 返回 图９ －６０　下载ＦｉｄｄｌｅｒＲｏｏｔ 证书 返回 图９ －６１　打开并安装“ＦｉｄｄｌｅｒＲｏｏｔ. ｃｅｒ” 文件 返回 图９ －６２　勾选“Ｄｅｃｒｙｐｔ ＨＴＴＰＳ ｔｒａｆｆｉｃ” 框 返回 图９ －６６　下载ｓｑｌｍａｐ 返回 图９ －８０　验证是否解压成功 返回 图９ －８１　ＳＱＬｉｔｅ３ 的管理工具的所有用法 返回 图９ －８２　向数据表中插入一条数据 返回 图９ －８３　解压 返回 ９.４　常见安全测试案例分析 9.4.5　跨站请求伪造( ＣＳＲＦ) １. 定义 跨站请求伪造(Ｃｒｏｓｓ － Ｓｉｔｅ Ｒｅｑｕｅｓｔ Ｆｏｒｇｅｒｙ. ＣＳＲＦ/ ＸＳＲＦ) 称为ｏｎｅ ｃｌｉｃｋ ａｔｔａｃｋ/ ｓｅｓ￣ｓｉｏｎ ｒｉｄｉｎｇ. 它是一种对网站的恶意利用. 它听起来像跨站脚本攻击( ＸＳＳ). 但它与ＸＳＳ 非常不同. ＸＳＳ 利用站点内的信任用户. 而ＣＳＲＦ 则通过伪装来自受信任用户的请求来利用受信任的网站. 简单地说就是攻击者盗用了用户的身份. 以用户的名义发送恶意请求. 上一页 下一页 返回 ９.４　常见安全测试案例分析 ＣＳＲＦ 是一种常见的Ｗｅｂ 攻击. 也是Ｗｅｂ 安全中最容易被忽略的一种攻击方式. 但是很多开发者对它很陌生. 甚至安全工程师都不太理解它的利用条件和危害. 因此不予重视但是ＣＳＲＦ 在某些时候却能产生强大的破坏性. ２. 原理 ＣＳＲＦ 的原理如图９ －１５３ 所示. 从图９ －１５３ 可以看出. 要完成一次ＣＳＲＦ 攻击. 受害者必须依次完成两个步骤: (１) 登录受信任网站Ａ. 并在本地生成Ｃｏｏｋｉｅ. (２) 在不登出网站Ａ 的情况下. 访问危险网站Ｂ. 上一页 下一页 返回 ９.４　常见安全测试案例分析 看到这里. 读者也许会说: “如果我不满足以上两个条件中的一个