一．暴力破解测试
就是指对应用系统用户登录账号与密码进行的穷举测试，针对账号和密码进行逐一比较，直到找到正确账号与密码。
一般是三种情况：
已知账号，加载密码字典对密码进行穷举测试；
未知账号，加载账号字典，结合密码字典进行穷举测试；
未知账号与密码，利用账号与密码进行穷举测试；
使用BurpSuite工具进行破解。
修复建议：增加验证码，登陆失败一次则验证码重新变换一次；
配置登录失败次数限制策略，同一用户连续输错密码几次则在一定时间内限制其登录；
增加短信验证码与邮箱验证码双重验证。
二．本地加密传输测试
就是针对客户端与服务器的数据传输，查看数据是否采用SSL安全套接字加密方式加密。
使用Fiddle或Wireshark抓包工具进行登录页面用户名与密码的数据抓取，未采用SSL协议且对登录信息未进行算法加密的可直接拿到明文数据。
修复建议：在Web应用的服务器上部署有效的SSL证书服务。
三.Sess
最低0.47元/天 解锁文章
扫一扫
888
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
