01、數(shù)據(jù)加密

某些數(shù)據(jù)需要進(jìn)行信息加密和過(guò)濾后才能在客戶端和服務(wù)器之間進(jìn)行傳輸，包括用戶登錄密碼、信用卡信息等。例如，在登錄某銀行網(wǎng)站時(shí)，該網(wǎng)站必須支持SSL協(xié)議，通過(guò)瀏覽器訪問該網(wǎng)站時(shí)，地址欄的http變成https，建立https連接。這相當(dāng)于在HTTP與TCP之間增加了一層加密——SSL協(xié)議。SSL是利用公開密鑰/私有密鑰的加密技術(shù)（RSA)，建立用戶與服務(wù)器之間的加密通信，確保所傳遞信息的安全性。數(shù)據(jù)加密的安全性還包括加密的算法、密鑰的安全性。

02、登錄或身份驗(yàn)證

一般的應(yīng)用站點(diǎn)都會(huì)使用登錄或者注冊(cè)后使用的方式，因此，必須對(duì)用戶名和匹配的密碼進(jìn)行校驗(yàn)，以阻止非法用戶登錄。在進(jìn)行登錄測(cè)試的時(shí)候，需要考慮輸人的密碼是否大小寫敏感、是否有長(zhǎng)度和條件限制，多可以嘗試多少次登錄，哪些頁(yè)面或者件需要登錄后才能訪問/下載等。身份驗(yàn)證還包括調(diào)用者身份、數(shù)據(jù)庫(kù)的身份、用戶授權(quán)等，并區(qū)分公共訪問和受限訪問，受限訪問的資源。

03、輸入驗(yàn)證

Web頁(yè)面有很多表單提交，實(shí)際每個(gè)輸入域都可能是一個(gè)潛在的風(fēng)險(xiǎn)，黑客可以利用文字輸入框，將攻擊性的腳本輸入進(jìn)去，提交給服務(wù)器處理，來(lái)攻擊服務(wù)器。有時(shí)，也可以在輸入域提交一些危害性的腳本，提交上去，隱含到某個(gè)頁(yè)面上，如某個(gè)文件的下載鏈。當(dāng)另外一個(gè)用戶單擊鏈接時(shí)，就可以調(diào)用相應(yīng)的腳本來(lái)讀取該用戶硬盤的數(shù)據(jù)或用戶名/口令，發(fā)送出去，類似于木馬病毒。所以，在進(jìn)行Web安全性測(cè)試時(shí)，每個(gè)輸入域都需要用標(biāo)準(zhǔn)的機(jī)制驗(yàn)證，長(zhǎng)度、數(shù)據(jù)類型等符合設(shè)定要求，不允許輸人JavaScript代碼，包括驗(yàn)證從數(shù)據(jù)中檢索的數(shù)據(jù)、傳遞到組件或Web服務(wù)的參數(shù)等。

04、SQL注入

從客戶端提交特殊的代碼，從而收集程序及服務(wù)器的信息，從而獲取必要的數(shù)據(jù)庫(kù)信息，然后基于這些信息，可以注入某些參數(shù)，繞過(guò)程序的保護(hù)，針對(duì)數(shù)據(jù)庫(kù)服務(wù)器進(jìn)行攻擊。例如，在原有URL地址后面加一個(gè)恒成立的條件(如or1=1或or user>0)，這樣，可以繞過(guò)系統(tǒng)的保護(hù)，對(duì)數(shù)據(jù)庫(kù)進(jìn)行操作。05、超時(shí)限制

Web應(yīng)用系統(tǒng)一般會(huì)設(shè)定“超時(shí)”限制，當(dāng)用戶長(zhǎng)時(shí)間（如15min)不做任何操作時(shí)，需要重新登錄才能打開其他頁(yè)面。會(huì)話（Session)的安全性還包括交換會(huì)話標(biāo)識(shí)符、會(huì)話存儲(chǔ)狀態(tài)等的安全性。

06、目錄

Web的目錄安全也是不容忽視的，如果Web程序或Web服務(wù)器的處理不適當(dāng)，可以通過(guò)簡(jiǎn)單的URL替換和推測(cè)，使整個(gè)Web目錄暴露出來(lái)，帶來(lái)嚴(yán)重的安全隱患?？梢圆捎媚承┓椒▽⑦@種隱患降低到小程度，如每個(gè)目錄下都存在index.htm，以及嚴(yán)格設(shè)定Web服務(wù)器的目錄訪問權(quán)限。

07、操作留痕

為了保證Web應(yīng)用系統(tǒng)的安全性，日志文件是至關(guān)重要的，需要測(cè)試相關(guān)信息是否寫進(jìn)了日志文件，是否可追蹤。