学习笔记v5.0-关于渗透性测试的一些常见测试项

首先
这是一个学习笔记
用来记录我的学习上的心得与成长

渗透性测试

web安全

1. 跨站脚本攻击(XSS)
2. SQL注入
3. XML外部实体(XXE)注入
4. 跨站点伪造请求(CSRF)
5. 服务器端请求伪造(SSRF)
6. 任意文件上传
7. 任意文件下载或读取
8. 任意目录遍历
9. .svn/.git源代码泄露
10. CRLF注入
11. 命令执行注入
12. URL重定向
13. Json劫持
14. 第三方组件安全
15. 本地/远程文件包含
16. 任意代码执行
17. Strutrs2远程命令执行
18. Spring远程命令执行
19. 信息泄露
20. 缺少"X-XSS-Protection"头
21. Falsh跨域
22. HTML表单无CSRF保护
23. HTTP明文传输
24. 使用GET方式进行用户凭据
25. X-Frame-Options Header未配置
26. 任意文件删除
27. 绝对路径泄露
28. 未设置HTTPONLY
29. X-Forwarded-For 伪造
30. 明文传输
31. 不安全的HTTP Methods
32. 任意文件测探

网络传输安全

1. 加密方式不安全
2. 使用不安全的telnet协议

业务逻辑安全

1. 垂直越权访问
2. 验证码缺陷
3. 反序列化命令执行
4. 用户名枚举
5. 用户密码枚举
6. 用户弱口令
7. 会话未销毁
8. 平行越权访问
9. 未授权访问
10. 业务逻辑漏洞
11. 短信炸弹
12. Flash为混淆导致反编译
13. 会话固定攻击漏洞

中间件安全

1. 中间件配置缺陷
2. 中间件弱口令
3. Jboss反序列化命令执行
4. Websphere反序列化命令执行
5. Jenkins反序列化执行
6. JBoss远程代码执行
7. Webloigc反序列化命令执行
8. Apache Tomcat 样例目录 session操纵

服务器安全

1. 文件解析代码执行
2. 域传送漏洞
3. Redis未授权访问
4. 操作系统弱口令
5. 数据库弱口令
6. 本地权限提升
7. 已存在的脚本木马
8. 永恒之蓝
9. mssql信息探测
10. windows操作系统漏洞
11. 数据库远程连接
12. 权限分配不合理