web安全測試有哪些目的

安全性測試的目的是儘可能地把網絡架構層面的有意無意的問題查找出來，對於web系統來說是一個標準的網絡協議結構，它是以瀏覽器爲載體的，瀏覽器相關的安全性漏洞我們需要去發現，網頁是用來與用戶進行交互的，負面的操作是通過JavaScripts來執行腳本的會繞過界面向服務器發送數據都會存在安全性隱患。

安全性測試的任務就是利用安全性測試技術，在產品未被正式發佈之前，查找安全性測試的bug，發現安全性漏洞需要對安全性漏洞進行修復，避免漏洞被非常用戶進行攻擊，這樣對服務器或者數據與錢相關的金融數據帶來安全隱患，安全性測試的目的就是去發現這些安全性的問題，從而修復安全性測試的漏洞，讓用戶使用我們的系統更放心更安全。

但是往往安全性漏洞往往不容易發現，也不可能完全發現因爲我們的黑客攻擊技術過於複雜，無論我們怎麼樣避免一定要爲用戶提供服務，一定要開放一些端口需要給用戶提供一些輸入的界面，非常用戶可以通過輸入的方式打開80端口掃描的方式或者通過URL地址的參數方式進行SQL注入都有可能給我們的系統注入一些非常的代碼。

我們要實施安全性測試的目的是，盡最大努力快速發現系統中安全性測試的漏洞與隱患，然後修改漏洞。

我們在學習安全性測試之前需要具備一定的網絡協議、性能測試、接口測試都是基於網絡協議而開展，如果我們僅對前端JS進行過濾沒有對服務端進行過濾，如果繞開前端直接給服務器發送數據包這時候過濾不會生效，除了服務器也進行了過濾。

例如：給你一個文本框只允許輸入數字，JS在瀏覽器進行了限制，但是服務器端接口未進行限制，這時候用戶可以直接繞過前端直接向服務器端發送數據，這樣也會存在安全性bug。

安全性測試有哪些分類？

1、認證與授權

例如：用戶登錄認證的操作，用戶登錄後的角色所授予的權限，從技術層面沒有特別之處，需要登錄用戶進行登錄，程序員在編寫程序時一定要意識到安全性的漏洞問題。

2、Session與Cookie

Session是保存在服務器端的一些文件通過SessionID來保存文件，一般安全性較高問題不大，可以直接對服務器的數據進行讀取。

Cookie是保存在客戶端的，如果Cookie信息被用戶獲取到，就會被人利用漏洞對系統進行攻擊。

3、DDOS拒絕服務攻擊

不斷地向服務器發送請求的情況，佔用服務器的連接資源，讓服務器的資源消耗完成，無論向服務器正常提供服務的情況叫作DDOS拒絕攻擊，這種情況一般比較難防範，一般發送的請求都是正常的，服務器並不知道是DDOS攻擊的情況，如果某些資源達到瓶頸系統就會導致癱瘓。

4、文件上傳漏洞

一般用戶端向服務器端提交文件時，如果用戶傳遞了一個可執行的文件腳本是一個木馬，這樣就可以達到攻擊服務器的目的。

5、XSS跨站攻擊漏洞

XSS攻擊一般對服務器沒有影響，對用戶會產生影響，例如：網頁上存放某個腳本，其它用戶操作網站的內容就不小心點擊到了對服務器沒有影響，通過跨站攻擊就可以獲取SessionID對網站進行非法操作就是Cookie欺騙。

還有一種情況就是用戶模擬了一個釣魚網站，讓我們錯誤認識是自己的網站，輸入一些與錢相關的敏感信息，獲取用戶的相關數據，容易入侵，從而導致一系列安全隱患問題。

6、SQL注入

可能通過任何可以輸入的地方都能達到SQL注入的目的。

例如：登錄框、文件輸入框等相關功能都是一種普遍的攻擊方式。