接口安全测试基础

1、常见的安全工具:

OWASP ZAP
WVS
Appscan
BurpSuite
sqlmap

2、安全测试关注的维度

  • 传输

   敏感信息传递加密
   链路加密

  • 接口

   访问控制

  • 参数

   注入: sql注入、命令注入、文件注入
   越权:越过更高的权限,越过同级权限

3、业务安全常见的checklist

  • 业务数据传输链路分析

    http是否传输敏感信息

    tcp等协议是否可被破解

  • 资产安全分析

    api清单手机:明确敏感信息分级、可访问性验证

    api参数收集:明确参数分类并针对分析

      token可遍历

      文件上传

     身份参数的有效验证

4、建立安全测试流程

(1)白盒代码分析:自动化

sonar、findbugs

(2)黑盒扫描机制:自动化

zap、wvs、burpsuite、appsan、sqlmap

(3)业务流程安全探索:人工检测

 burpsuite、zap

 

上一篇:OpenStack REST API使用


下一篇:kratos微服务框架引入zap日志库