appscan如何进行web端安全性测试_web端常见安全漏洞测试结果分析-- appscan

基于appscan测试结果分析：

一、XSS跨站脚本

指的是攻击者往Web页面里插入恶意html代码，通常是JavaScript编写的恶意代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。是最常见的Web应用程序安全漏洞之一

JavaScript可以用来获取用户的cookie、改变网页内容、URL调转，存在XSS漏洞的网站，可以盗取用户cookie、黑掉页面、导航到恶意网站

攻击的主要途径:

1.对普通的用户输入，页面原样内容输出

2.在代码区里有用户输入的内容(代码区中，绝对不应含有用户输入的东西)

3.允许用户输入HTML标签的页面

攻击解决办法：(过滤输入和转义输出)

1.在输入方面对所有用户提交内容进行可靠的输入验证，不要信赖客户输入(URL、查询关键字、http头、post数据等)

2.在输出方面，在用户输内容中使用

标签。标签内的内容不会解释，直接显示。

3.严格执行字符输入字数控制。

4.在脚本执行区中，绝不可以让用户输入

Eg：

1、用户名、密码等敏感输入字段未经加密就进行了传递

整改建议：在被测应用与服务器交互过程中，对密码等敏感信息进行加密传输。

2. 未对用户输入正确执行危险字符清理

整改建议：在被测应用与服务器交互过程中，对所有用户提交内容进行可靠的输入验证或编码。

二、URL 重定向包含网络钓鱼

重定向：客户端跳转之后浏览器URL改变，并且服务器无法传递参数。客户端跳转通常会使用response.sendRedirect()方法，也可以使用JavaScript跳转

攻击预防：

1.严格判断包含中的参数是否外部可控

2