安全测试报告.pdfVIP

目录

1安全测试3

2测试范围3

3测试流程4

4漏洞级别说明4

5测试详情5

5.1任意文件上传漏洞5

5.1.1风险类别5

5.1.2漏洞分析5

5.1.3漏洞危害等级5

5.1.4风险分析5

5.1.5解决方案5

5.2管理后台暴露6

5.2.1风险类别6

5.2.2漏洞分析6

5.2.3漏洞危害等级6

5.2.4风险分析6

5.2.5解决方案6

5.3跨站点脚本编制攻击6

5.3.1风险类别6

5.3.2漏洞分析6

5.3.3漏洞危害等级6

5.3.4风险分析6

5.3.5解决方案7

5.4E-Mail地址7

5.4.1风险类别7

5.4.2漏洞分析7

5.4.3漏洞危害等级7

1

5.4.4风险分析7

1

5.4.5解决方案7

5.5电话号码7

5.5.1风险类别7

5.5.2漏洞分析8

5.5.3漏洞危害等级8

5.5.4风险分析8

5.5.5解决方案8

5.6任意文件下载漏洞8

5.6.1风险类别8

5.6.2漏洞分析8

5.6.3漏洞危害等级8

5.6.4风险分析8

5.6.5解决方案8

2

1安全测试

什么是安全测试?安全测试就是要提供证据表明，在面对敌意和恶意输入的时候，应用仍然

能够充分地满足需求。安全是一种必须存在的非功能性需求。

2测试范围

风险等等级描述详细说明

级

A1注入攻击注入攻击漏洞，例如SQL,OS以及LDAP注入，会在攻击者向应用服务端发

送以分隔符作为命令或者查询的一部分时就会发生。攻击者的有害数据

中分隔符造成的陷阱，会执行攻击构造的未预知的命令或者访问未授权

数据

A2失效的身份认证和会话管理失效的身份认证和会话管理，与身份认证和会话管理相关的应用功能经常

实

现的不正确，允许攻击者可以构造密码、密钥、或者会话令牌或者利用

实现缺陷，假旨其他用户的身份。

A3跨站脚本(XSS)当应用服务接收不被信任的数据，并且将该数据不经过验证或者字符过滤

，就发送给客户的Web浏览器。就会产生XSS攻击。XSS攻击允许攻击者