Chuyển đến nội dung chính

Chú ý khi khi kiểm thử bảo mật

Các lưu ý khi kiểm thử bảo mật

1. Kiểm tra bảo mật trong yêu cầu của website:
- Phân quyền người dùng: Đảm bảo phân quyền của người dùng trong hệ thống, với role này user có thể làm gì, có lỗi nào vượt qua các quyền hạn của user trong hệ thống không ? ( Quyền vào trang, quyền admin, ... )
- Các yêu cầu của website có đảm bảo yếu tố bảo mật hay không? các quy định về đặt password, các thông báo tường minh, thông báo khi xảy ra lỗi, các trường hợp hiển thị thông tin người dùng có đảm bảo không ...
- Các thông tin cần lưu xuống cookie, session, thời gian của session, cookie ... (thay đổi các giá trị Cookie và gửi thông tin đến server)
 - Các thông tin cần thiết để xác nhận, đăng ký, ...đã đầy đủ chưa.
- Các lỗi trong code có thể tạo ra các lỗ hổng để người lạ xâm nhập và tấn công hệ thống.
- Các quy định về đặt tên file, nơi lưu trữ, cách đặt tên table, colunm trong DB.
- Các thông tin của file config, cấu hình server thậm chí giới hạn IP truy cập.
- Gửi các thông tin quan trọng qua HTTP ( nên dùng HTTPS)
- Kiểm tra các debug tool ( nếu có - gần release)
- Kiểm tra quyền xem các file hệ thống của user.
- Chèn tham số trên url.
- Thông tin bộ nhớ đệm, thời gian, tốc độ và lưu lượng data gửi trả về.
 
=> Sau khi kiểm tra thì nên báo cáo cụ thể và nói rõ tình hình với những người chịu trách nhiệm để có biện pháp giải quyết cụ thể rõ ràng.

2. SQL Injection
3. SQL Injection là gì(XSS)
4. Cross-Site Request Forgery (CSRF) 
5. Clickjacking


Nhận xét

Đăng nhận xét

Bài đăng phổ biến từ blog này

3Q6S - Tiêu chuẩn chất lượng công ty nhật

+  Ý nghĩa của 3Q6S -          Quality company: công ty tốt -          Quality worker: nhân viên tốt -          Quality Products : sản phẩm tốt -          Seiri : sắp xếp gọn gàng -          Seiton: đặt ngăn nắp, đúng chỗ -          Seiketsu : tinh khiết, sáng sủa -          Seisou: quét dọn sạch sẽ -          Saho : tác phong, hành động đúng -          Shitsuke : kỷ luật, nề nếp     – Lấy các chữ đầu của các mục trên để gọi là 3Q6S.        * Sắp xếp gọn gàng bao gồm ý nghĩa “Phân chia những vật cần thiết và không cần thiết, những vật không cần thiết không đặt ở nơi làm việc...
Đăng nhận xét
Đọc thêm

Tổng quan về solfware testing

Chương 1: Tổng quan về test phần mềm         1.1 Các giai đoạn test         1.2 Định nghĩa về test         1.3 Mục tiêu của test         1.4 Vai trò và nhiệm vụ của Tester. Chương 2: Những yêu cầu cần thiết khi thực hiện test        2.1 Ý nghĩa những tài liệu tester cần hiểu trước khi bắt đầu test        2.2 Hướng test cụ thể trong phần mềm Chương 3: Quy trình test       Sơ đồ tổng quát. Chương 4: Phương pháp test và kỹ thuật thiết kế testcase       4.1 Phương pháp test       4.2 Loại test       4.3 Test case Chương 5: Lỗi phổ biến trong phần mềm và cách Report Bug       5.1 13 lỗi phổ biến trong phần mềm (Bug type).       5.2 Report Bug Template. Chương 6: Test Plan và thế nào là Tester tốt A. TEST PLAN       I. Definitions:   ...
Đăng nhận xét
Đọc thêm

Các testcase cho màn hình login

I. Các thành phần thường có của màn hình login:     1. Logo     2. Username     3. Password     4. Remember Login     5. Submit button      ....... II. Các testcase: Check display when url is wrong Check validate of the code of url Check display of the login page when user enter url is true Check support Enter key for login button Check dislay when group is false Check login with correct username and password Check login with wrong username and password Check login with correct username and wrong password Check login with wrong username and correct password Check login with all empty fields Check login with correct username and empty password Check loginwith empty username and correct password Check when user checked [Remeber password] checkbox Check don't checked [Remeber password] checkbox Check unchecked [Remeber password] checkbox after checked [Remeber password] Check when user checked [Remebe...
Đăng nhận xét
Đọc thêm