web安全测试(续)

1、GW测试培训之web安全测试（续二）Shenzhen Gateway Science and Technology Co., Ltd.Herry.xie2013-06-19v前言：为什么要做安全测试v概述与原理v安装ParosvParos 基本操作vParos 实战2vParos proxy：网页程序漏洞评估代理v为什么学习安全测试&Paros？1、测试工作的一个方面 测试工作的一部分拓展我们的思维，测试的思路，一个测试的方法2、安全很重要破坏者的防护是整个系统的一个环节，不能从我们这里能够暴露安全问题3、功能测试的需要实际工作中，有些情况没有测试到选择的测试集不够全面，平时我们的设计边界值，

2、等价类。但，有些参数没有涉及到，比如查询的sql注入，增加时的跨脚本访问，这些也是测试数据。工具能够给我们提供帮助，绕过浏览器（B端），不会执行js脚本，Paros提供了这种选择会议内容v概述 对网站进行安全性测试，如果通过手工的方式进行效率是非常低的，首先你必须要找到安全性测试的切入点，然后逐一对这些切入点进行检查。但寻找切入点是非常耗时而且对测试人员的安全、编码的知识面要求也非常高，再者即使是找到了安全测试切入点，逐一对这些关键点进行测试也是需要大量的时间的。因此，为了提高安全测试的效率，我们需要借助一些安全性测试工具。5会议内容v原理 Paros proxy是一个对Web应用程序的漏洞进

3、行评估的代理程序，它支持动态地查看/编辑 HTTP/HTTPS信息，可以改变cookies和表单字段中的内容。它包括一个Web通信记录程序、Web爬虫程序（Web Spider），Hash计算器，还有一个可以测试常见的Web应用程序攻击（如SQL注入式攻击和跨站脚本攻击）的扫描器。 設置代理后，网站数据首先会传给代理（Paros Proxy）然后再传给浏览器显示给用户 注：基于Java的web代理程序，故需要java运行环境。6会议内容v安装JDK略(jre需要1.4版本或更高)v配置JAVA环境 右击“我的电脑”选择“属性”，打开“高级”选项卡再点击“环境变量”开始对环境变量进行设置。首先设

4、置PATH环境变量，在PATH环境变量中输入后添加JRE的安装路径（例如： C:Program FilesJavajre6 ） 添加后点击“确定”按钮，然后添加一个名为CLASSPATH的环境变量，其值为JRE安装目录下的lib目录。单击“新建”按钮弹出环境变量输入界面，在“变量名”处输入CLASSPATH，在“变量值”处输入C:Program FilesJavajre6lib 7会议内容8v安裝Paros 略，注：Paros运行需要两个端口：8080和8443，其中8080是代理连接端口，8443是SSL端口，所以必须保证这两个端口并未其它程序所占用。如果在安装完成,启动应用程序时，出现初始

5、化错误，极大的可能就是因为这个端口被其它程序所占用会议内容v预置条件设置IE浏览器代理9Paros 基本操作会议内容vParos 菜单菜单栏包括七个菜单：File：文件菜单，含有针对会话的一些操作（打开、关闭、保存等）以及将Paros抓 取到的一些信息进行保存等。Edit：编辑菜单，包含针对会话（Session）和Cookie的一些选项。View：视图菜单，设置在请求/应答内容时的过滤选项，以及是否开启在历史中记 录图片的功能。10会议内容Analyse：检查菜单，启动抓取程序，启动 扫描及扫描选项设置。Report：报告菜单，生成报告程序。Tools：工具菜单，设置过滤选项、Hash编码解码

6、、手功更改请求信息、检查更新 和选项设置等。Help：帮助菜单。11会议内容界面下方的四个选项卡：History：抓取网站历史记录Spider：爬虫程序取得的信息Alerts：告警信息Output：输出的信息12会议内容v录制 设置代理后，打开浏览器就开始执行录制了。停止录制的话，关闭代理即可。vSpider 抓取链接地址 右击鼠标选择“spider”命令或“analyse”菜单下的“spider”命令，系统将抓取该URL层次树中下一层次的URL13会议内容vScanner 扫描SCANNER可以对以下几种情况进行检查： SQL注入 跨站点脚本攻击 目录遍历 CRLF注入攻击14会议内容vReport 报告 生成报告成功，它会提示你报告所保存的位置，点击“OK”按钮后会自动打开报告15实战vRecordvSpinnervScannervReportvRes