SQL注入 所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意 ...

典型BUG 表格的排序、翻页、添加、删除的联合测试 输入框的长度检查 数据库表中如果指定utf8长度为150，则可以输入150个中文或英文字母等 （有时候界面判断失误，却只能输入50个汉字） 数据添加的时候引号等特殊符号没有处理导致添加失败 ...

1、漏洞描述：文件上传漏洞，是指可以利用WEB上传一些特定的文件包含特定代码如（<?php phpnfo;?> 可以用于读取服务器配置信息。上传成功后可以点击） 上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。文件上传本身是web中最 ...

建立整体的威胁模型，测试溢出漏洞、信息泄漏、错误处理、SQL 注入、身份验证和授权错误. 1. 输入验证 客户端验证 服务器端验证(禁用脚本调试，禁用Cookies) 1.输入很大的数（如4,294,967,269），输入很小的数(负数) 2.输入超长字符,如对输入文字 ...

建立整体的威胁模型，测试溢出漏洞、信息泄漏、错误处理、SQL 注入、身份验证和授权错误. 1. 输入验证 客户端验证 服务器端验证(禁用脚本调试，禁用Cookies) 1.输入很大的数（如4,294,967,269），输入很小的数(负数) 2.输入超长字符,如对输入文字 ...

http://blog.csdn.net/stacey_sz/article/details/53669066 工具篇 Watchfire Appscan——全面自动测试工具 Acunetix Web Vulnerability ——全面自动测试 ...

Web Api的安全性 系列导航地址http://www.cnblogs.com/fzrain/p/3490137.html 前言 这一篇文章我们主要来探讨一下Web Api的安全性，到目前为止所有的请求都是走的Http协议（http：//）,因此客户端与服务器之间的通信是没有加密的。在本篇 ...

Hi，大家好。我们在开展接口测试时也需要关注安全测试，例如敏感信息是否加密、必要参数是否进行校验。 1、接口防刷案例分析 1.1、 案例 黄牛在12306网上抢票再倒卖并牟利。 恶意攻击竞争对手，如短信接口被请求一次，会触发几分钱的运营商费用。 进行压 ...