WEB应用程序安全检查列表

时间: 2018-03-27阅读: 1052标签: 安全

检查页面隐藏或丢失的内容
检查webserver元数据文件,如:robots.txt, sitemap.xml,.DS_Store, .htaccess

检查搜索功能可能的注入或攻击方式

检查不同agent代理访问网站显示内容的是否一致

检查页面headers信息与页面注释是否泄露项目核心信息

检查应用程序当前使用的框架版本与对应的更新与bugLists

检查应用程序的执行性能

明确当前应用程序使用的技术栈(用于确实被攻击的类型和方式)

明确当前应用程序的主入口

过滤所有表单的输入检查,包括请求的类型与请求的参数

明确移动端与PC端业务的关联性(用于确定业务的欺骗的类型与方式)

检查与服务器标识(如服务器版本,服务器类型)

检查与当前应用程序关联的其他业务应用,如Iframe有嵌入的三方应用(通过设置content-security-policy )

检查应用程序在不同主机名和不同商品的情况下访问的情况(用于保证不向外泄露应用程序的核心信息)

检查第三库的版本以及对应的bugLists

检查服务器根域名与子域名的主页访问情况,如是否有404,502

检查4xx,5xx的情况下应用程序的指向

对重要的应用程序API接口做白名单处理,如域名,请求方式,跨站配置

检查客户端修改非正常文件扩展的请求情况,用于验证如,shell攻击

如果应用程序是使用Https部署的,则还需要检查整个应用程序的请求是否都是Https的请求(用于确定请求资源的有效性,因为有的情况下会出现丢失资源情况,那是因为https的安全策略造成的[blok model])

如果移动端应用且使用了,如ionic,react-native等时,还需要检查content-security-policy(用于保证资源能够被顺利访问,如有的情况下data://这种动态处理的数据不能够正常处理)

如果使用第三方服务如七牛云,cdn等,则还需要检查客户端token(API KEYS,credentials)的有效性与安全性

服务端需要检查ssl版本,对应的算法与keys的长度

检查数字证书的有效性,如有效期,证书标识等

检查统计各应用的跨域访问的情况

检测后端服务API的请求情况(压力测试)

cookie的安全检查,如设置httpOnly,secure,作用的域名与路径,有效期
检查用户退出后的session处理情况(验证用户正常退出后是否还能正常访问认证资源)

检查与防范csrf和clickjacking(特别注意有使用Iframe的情况)攻击

检查两个不同类型的正常用户登录后显示各自用户数据的情况(验证是否有共用数据的情况,如基金信息在组件刚加载的时候被缓存在本地中,但由于没有添加用户类型或用户唯一标识而导致的共用数据的情况,这种情况必须多加以关注)

检查在用户没有登录的情况下,通过输入url地址的情况访问用户认证数据的(如http://www.domain.com/user/ce...

强制用户在2-3个月内做用户口令的修改,同时更新用户的salt值

检查应用程序的资源类型,如:html Injection, SQL Injection, ORM Injection, XML Injection, SSL Injection, XPath Injection , IMAP/STMP Injection, Code Injection, Command Injection, NoSQL Injection 这些情况

检查非正常访问的文件名,需要对其encoding,如:%3Bcat%20/etc/passwd(%3B会变成一个分号,所以将会运行多条系统命令)

检查离线访问的情况
检查大数据的验证情况,如很大的数字(在正则验证情况下特别糟糕,([a-zA-Z]+)*, (a+)+ 或 (a|a?)+在如aaaaaaaaaaaaaaaaaaaaaaaa!)

对于提供资源展示性的应用,防止爬虫的行为可以设置rate-limit, 同时为了区别人机操作添加验证适中的图形验证码操作

安全性相关的HTTP头:

Strict-Transport-Security
X-Frame-Options
X-XSS-Protection
X-Content-Type-Options
Content-Security-Policy
来源:https://segmentfault.com/a/1190000014001748
作者:mntx
站长推荐

1.阿里云: 本站目前使用的是阿里云主机,安全/可靠/稳定。点击领取2000元代金券、了解最新阿里云产品的各种优惠活动点击进入

2.腾讯云: 提供云服务器、云数据库、云存储、视频与CDN、域名等服务。腾讯云各类产品的最新活动,优惠券领取点击进入

3.广告联盟: 整理了目前主流的广告联盟平台,如果你有流量,可以作为参考选择适合你的平台点击进入

链接: http://www.fly63.com/article/detial/552

叮咚生活官网,叮咚生活软件安全吗?

刷信用卡时爽的不行,还信用卡时头疼的要命,这恐怕是很多刷卡族的共性,也是不少普通收入的人面对信用卡账单时的一些痛点。那么,有没有更好的方法,既能让我们刷卡爽,还能让我们不为还款头疼呢?

14个Linux系统安全小妙招

对于互联网IT从业人员来说,越来越多的工作会逐渐转移到Linux系统之上,这一点,无论是开发、运维、测试都应该是深有体会。曾有技术调查网站W3Techs于2018年11月就发布一个调查报告,报告显示Linux在网站服务器的系统中使用率高达37.2%

前端必须知道的 HTTP 安全头配置

在本文中,我将介绍常用的安全头信息设置,并给出一个示例。内容安全策略(CSP)常用来通过指定允许加载哪些资源来防止跨站点脚本攻击。在接下来所介绍的所有安全头信息中,CSP 可能是创建和维护花费时间最多的而且也是最容易出问题的

web安全方案

完善的内容安全策略(CSP)是前端应用程序安全的基石。CSP是浏览器中引入的一种标准,用于检测和缓解某些类型的代码注入攻击,包括跨站点脚本(XSS)和点击劫持。

访问http网站Safari提示网站不安全怎么办?

macOS和iOS上的Safari在所有通过HTTP连接的地址栏中会显示“不安全”的警告。去年,谷歌Chrome和火狐MozillaFirefox是最先显示这种警告的主流浏览器。

如何构建网络安全策略?

组织面临着对其信息系统和数据的诸多威胁。了解网络安全的所有基本要素是攻克这些威胁的第一步。网络安全是确保信息的完整性、保密性和可用性(ICA)的实践

企业网站怎么才能防御DDOS***?

他想要做一个网络安全防护,因为网站设计到了支付这一块的业务,所以要做网络安全防护,想要实时监测,如果有***发生需要第一时间知道情况。墨者安全告诉他可以的,那今天就讲讲企业网站怎么才能防御DDOS***?

利用CSS注入(无iFrames)窃取CSRF令牌

要做到无iFrame,我将使用一种类似于之前我讨论过的方法:我将创建一个弹窗,然后在设置计时器后更改弹出窗口的位置。使用这种方法,我仍然可以加载受害者的CSS,但我不再依赖于受害者是否允许iFrame。

前端开发人员的10个安全建议

Web安全是前端开发人员经常忽略的主题。当我们评估网站的质量时,我们通常会查看性能,SEO友好性和可访问性等指标,而网站抵御恶意攻击的能力却常常被忽略。即使敏感的用户数据存储在服务器端

常见Web安全问题攻防解析

XSS (Cross Site Script),跨站脚本攻击,因缩写和 CSS (Cascading Style Sheets) 重叠,所以叫 XSS。XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码,当用户浏览该页之时,嵌入其中 Web 里面的脚本代码会被执行

内容以共享、参考、研究为目的,不存在任何商业目的。其版权属原作者所有,如有侵权或违规,请与小编联系!情况属实本人将予以删除!

文章投稿关于web前端网站点搜索站长推荐网站地图站长QQ:522607023

小程序专栏: 土味情话心理测试脑筋急转弯幽默笑话段子句子语录成语大全运营推广