接口安全测试检查项小结 - 51ste软件测试部落-中国软件测试者的乐园
登录|注册

接口安全测试检查项小结

作者:dingyx  发布时间:2018-11-06 13:47:52  关键字:接口安全测试 

1、接口参数不能是密码明文。
2、需要输入密码做授权校验的操作接口,必须有次数限制,防止对方暴力破解。
3、接口不能返回和功能无关的字段,尤其是密码等敏感字段。
4、不能发布没有使用的接口。
5、控制台和日志均不能打印出密码明文。
6、用户不能进行自己无权限的操作,以某修改操作为例:
user1、user2分别具有只属于自己的表单item1、item2,user1修改自己表单接口modify/user1/item1
验证项:user1用户不能通过拼接接口or拼接传入参数的方式实现以下功能
modify/user1/item2
modify/user2/item1
modify/user2/item2
注:user1进行以上操作的时候都需要在日志中warning记录
7、复杂事务流程不能跳过某项流程
某个事务流程是A->B->C->D才能完成
验证项:A->B->D
A->C->D
B->C->D
不同组合,验证事务要拒绝或者并且将状态重置回初始状态
注:出现以上操作的时候都需要在日志中warning记录
8、上传文件接口,如果只能上传图片,不可以上传其他文件或者伪装成图片的可执行文件
注:出现以上操作的时候都需要在日志中warning记录
9、接口不可以有可sql注入的机会,以读和修改为例:
list/userId=1
验证项:
取反:list/userId=1 and 1=2
数字型:list/userId=1 and 1=1
字符型:list/userId=1' and 1=1 and '1'='1
字符型:list/userId=1'  and 1=1#
字符型:list/userId=1'  and 1=1--
搜索型:list/userId=1%' and 1=1 and '%'='
判断以上接口是否按照预期返回(接口错误正常捕获or只返回 getUser/id=1,不能出现打印e.printStackTrace()类的输出)
10、写接口需要防止用户传入字符过长,造成溢出
11、写接口不能写入可造成XSS攻击的内容,
验证项:<script>alert('1')</script>,看数据库是否把<>替换成其他字符&lt; &gt;或者被过滤掉

 

本文由51ste.com网友编辑,未经授权,不得转载使用上述作品盈利;个人转载,需标明原文作者及出处。

说说看法查看全部评论(0)

微信二维码

部落微信公众号

QQ二维码

部落QQ群二维码