Chuyển đến nội dung chính

Chú ý khi khi kiểm thử bảo mật

Các lưu ý khi kiểm thử bảo mật

1. Kiểm tra bảo mật trong yêu cầu của website:
- Phân quyền người dùng: Đảm bảo phân quyền của người dùng trong hệ thống, với role này user có thể làm gì, có lỗi nào vượt qua các quyền hạn của user trong hệ thống không ? ( Quyền vào trang, quyền admin, ... )
- Các yêu cầu của website có đảm bảo yếu tố bảo mật hay không? các quy định về đặt password, các thông báo tường minh, thông báo khi xảy ra lỗi, các trường hợp hiển thị thông tin người dùng có đảm bảo không ...
- Các thông tin cần lưu xuống cookie, session, thời gian của session, cookie ... (thay đổi các giá trị Cookie và gửi thông tin đến server)
 - Các thông tin cần thiết để xác nhận, đăng ký, ...đã đầy đủ chưa.
- Các lỗi trong code có thể tạo ra các lỗ hổng để người lạ xâm nhập và tấn công hệ thống.
- Các quy định về đặt tên file, nơi lưu trữ, cách đặt tên table, colunm trong DB.
- Các thông tin của file config, cấu hình server thậm chí giới hạn IP truy cập.
- Gửi các thông tin quan trọng qua HTTP ( nên dùng HTTPS)
- Kiểm tra các debug tool ( nếu có - gần release)
- Kiểm tra quyền xem các file hệ thống của user.
- Chèn tham số trên url.
- Thông tin bộ nhớ đệm, thời gian, tốc độ và lưu lượng data gửi trả về.
 
=> Sau khi kiểm tra thì nên báo cáo cụ thể và nói rõ tình hình với những người chịu trách nhiệm để có biện pháp giải quyết cụ thể rõ ràng.

2. SQL Injection
3. SQL Injection là gì(XSS)
4. Cross-Site Request Forgery (CSRF) 
5. Clickjacking


Nhận xét

Đăng nhận xét

Bài đăng phổ biến từ blog này

3Q6S - Tiêu chuẩn chất lượng công ty nhật

+  Ý nghĩa của 3Q6S -          Quality company: công ty tốt -          Quality worker: nhân viên tốt -          Quality Products : sản phẩm tốt -          Seiri : sắp xếp gọn gàng -          Seiton: đặt ngăn nắp, đúng chỗ -          Seiketsu : tinh khiết, sáng sủa -          Seisou: quét dọn sạch sẽ -          Saho : tác phong, hành động đúng -          Shitsuke : kỷ luật, nề nếp     – Lấy các chữ đầu của các mục trên để gọi là 3Q6S.        * Sắp xếp gọn gàng bao gồm ý nghĩa “Phân chia những vật cần thiết và không cần thiết, những vật không cần thiết không đặt ở nơi làm việc...
Đăng nhận xét
Đọc thêm

Tổng quan về solfware testing

Chương 1: Tổng quan về test phần mềm         1.1 Các giai đoạn test         1.2 Định nghĩa về test         1.3 Mục tiêu của test         1.4 Vai trò và nhiệm vụ của Tester. Chương 2: Những yêu cầu cần thiết khi thực hiện test        2.1 Ý nghĩa những tài liệu tester cần hiểu trước khi bắt đầu test        2.2 Hướng test cụ thể trong phần mềm Chương 3: Quy trình test       Sơ đồ tổng quát. Chương 4: Phương pháp test và kỹ thuật thiết kế testcase       4.1 Phương pháp test       4.2 Loại test       4.3 Test case Chương 5: Lỗi phổ biến trong phần mềm và cách Report Bug       5.1 13 lỗi phổ biến trong phần mềm (Bug type).       5.2 Report Bug Template. Chương 6: Test Plan và thế nào là Tester tốt A. TEST PLAN       I. Definitions:   ...
Đăng nhận xét
Đọc thêm

Các hàm xử lý về thời gian trong mySQL - Date and Time Functions

Tên hàm Mô tả ADDDATE()  = Add time values (intervals) to a date value ADDTIME()  = Add time CONVERT_TZ()  = Convert from one timezone to another CURDATE()  = Return the current date CURRENT_DATE(), CURRENT_DATE = Synonyms for CURDATE() CURRENT_TIME(), CURRENT_TIME  = Synonyms for CURTIME() CURRENT_TIMESTAMP(), CURRENT_TIMESTAMP  = Synonyms for NOW() CURTIME() = Return the current time DATE_ADD() = Add time values (intervals) to a date value DATE_FORMAT() = Format date as specified DATE_SUB() = Subtract a time value (interval) from a date DATE() = Extract the date part of a date or datetime expression DATEDIFF() = Subtract two dates DAY() = Synonym for DAYOFMONTH() DAYNAME() = Return the name of the weekday DAYOFMONTH() = Return the day of the month (0-31) DAYOFWEEK() = Return the weekday index of the argument DAYOFYEAR() = Return the day of the year (1-366) EXTRACT() = Extract part of a date FROM_DAYS() = Convert a day number to...
Đăng nhận xét
Đọc thêm