29、利用用户交互对 Web 应用进行深度测试

利用用户交互对 Web 应用进行深度测试

1. 测试应用选择

本次测试选取了三种常见的 Web 应用，分别是：
- 博客应用（Django - basic - blog） ：未安装用户账户，初始有三篇文章，每篇文章允许评论，页面无其他链接，评论是唯一交互组件。
- 论坛软件（Django - Forum） ：每次访问以特权用户账户进行，初始创建了包含三个论坛的简单论坛结构。
- 在线商店（Satchmo 在线商店 0.6） ：规模比前两个应用大，测试更具挑战性，使用包中包含的测试数据填充，创建了一个用户账户。

测试使用 Apache 2.2.4（带预分叉工作线程）和 mod python 3.3.1，且每次测试新扫描器前，应用会恢复到初始状态。

2. 测试方法

使用三种现有 Web 漏洞扫描器（Burp Spider 1.21、w3af spider、Acunetix Web Vulnerability Scanner 5.1 免费版）以及自研工具对上述三个应用进行测试，同时还加入了一个简单的 Web 蜘蛛作为基准。
- 工具配置 ：
- 所有工具使用默认配置。
- 为 Burp Spider 启用表单填充选项。
- 为 Acunetix 扫描器激活“广泛扫描功能”，优化对 mod python 应用的扫描并检查存储型 XSS。
- 自研工具测试流程 ：
1. 为每个应用记录一个简