Web安全測試檢查單
阿新 • • 發佈：2018-12-13
是否 會話 order 頁面 str 驗證 短信驗證碼 center click
|
大類 |
細項 |
標記 |
備註 |
|
上傳功能 |
繞過文件上傳檢查功能 |
P1 |
功能測試階段覆蓋 |
|
上傳文件大小和次數限制 |
P1 |
|
|
|
註冊功能 |
註冊請求是否安全傳輸 |
P1 |
功能測試階段覆蓋 |
|
註冊時密碼復雜度是否後臺檢驗 |
P1 |
功能測試階段覆蓋 |
|
|
激活鏈接測試 |
P1 |
功能測試階段覆蓋 |
|
|
重復註冊 |
P1 |
|
|
|
批量註冊問題 |
P1 |
|
|
|
登錄功能 |
登錄請求是否安全傳輸 |
P1 |
功能測試階段覆蓋 |
|
會話固定 |
P1 |
功能測試階段覆蓋 |
|
|
關鍵Cookie是否HttpOnly |
P1 |
功能測試階段覆蓋 |
|
|
登錄請求錯誤次數限制 |
P1 |
功能測試階段覆蓋 |
|
|
“記住我”功能 |
P1 |
功能測試階段覆蓋 |
|
|
本地存儲敏感信息 |
P1 |
功能測試階段覆蓋 |
|
|
驗證碼功能 |
驗證碼的一次性 |
P1 |
|
|
驗證碼繞過 |
P1 |
|
|
|
短信驗證碼轟炸 |
P1 |
功能測試階段覆蓋 |
|
|
忘記密碼功能 |
通過手機號找回 |
P1 |
|
|
通過郵箱找回 |
P1 |
|
|
|
密碼安全性要求 |
密碼復雜度要求 |
P1 |
功能測試階段覆蓋 |
|
密碼保存要求 |
P1 |
功能測試階段覆蓋 |
|
|
橫向越權測試 |
請測試所有接口越權情況 |
P1 |
功能測試階段覆蓋 |
|
縱向越權測試 |
請測試所有接口越權情況 |
P1 |
功能測試階段覆蓋 |
|
XSS測試 |
反射型XSS |
P1 |
|
|
存儲型XSS |
P1 |
|
|
|
DOM型XSS |
P1 |
|
|
|
SQL註入測試 |
SQL註入測試 |
P1 |
|
|
寫接口限制測試 |
寫接口限制測試 |
P1 |
|
|
CSRF測試 |
CSRF測試 |
P1 |
功能測試階段覆蓋 |
|
敏感信息泄露 |
SVN信息泄露 |
P1 |
|
|
頁面泄露敏感信息 |
P1 |
|
|
|
目錄遍歷 |
目錄遍歷 |
P1 |
|
|
CRLF測試 |
CRLF測試 |
P1 |
|
|
任意文件讀取 |
任意文件讀取 |
P1 |
|
|
URL重定向測試 |
URL重定向測試 |
P2 |
|
|
點擊劫持ClickJacking |
頁面點擊劫持 |
P2 |
|
|
XXE |
XXE測試 |
P1 |
|
|
SSRF |
SSRF |
P1 |
|
|
CORS問題 |
CORS問題 |
P2 |
|
Web安全測試檢查單