网页bug测不出来？不知道的还不点进来瞅瞅！

前言：

如今不少活动都离不开的互联网的助力，好比新年的集五福活动，每一年电商巨头的61八、双11、双十二大促活动，亦或者休闲游戏，食品零售等等，无一不在互联网的生态圈之中。

也正是愈来愈多人成为了互联网的一员，不少***为了给本身谋利，变经过***网页服务器等方式，截获他人信息。***的方式也很是多，常见的有SQL注入、跨站脚本***、跨站请求伪造、缓存区溢出等。

由此，一方面，咱们须要增强网络安全建设，在网页搭建时，就对安全性方面作重点监控；另外一方面，咱们要充分认识网络bug有哪些，了解***可能的***点，提高本身的业务水平，方能协助开发人员，共同维护网络安全。

正文：

那么，平常生活中，常见的网络问题有哪些呢？今天咱们就一块儿来探讨下。

一、SQL注入类问题

在Web安全测试中，SQL注入是最为常见的一种手段。主要是指***者经过巧妙的构建非法SQL查询命令，插入表单或请求字符串后提交，并根据返回的结果，来得到想要的数据。这就是SQL注入。

SQL注入的方法通常有猜想法和屏蔽法。猜想法主要是经过猜想数据库可能存在的表名和列名，根据组合的SQL语句获取数据表的信息。屏蔽法主要是利用SQL输入的不严谨进行逻辑验证，从而使得SQL验证结果始终为真，从而绕开验证的目的。

二、跨站脚本***问题

跨站脚本***（简称XSS），是一种迫使Web站点回显可执行代码的***技术。

当Web站点回显后，***者会从新提供可执行代码。通常状况下，他们会往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入其中的Script代码会被执行，从而***终端用户。

XSS最为常见的***方法为反射型XSS和存储型XSS。其中，反射型XSS，又称非持久型跨站点脚本***，也是最多见的XSS***方式。

而存储型XSS则不一样。它是一种持久型跨站点脚本***，也是最直接危害用户的XSS。当***者在服务器中存储了***代码后，用户只要打开对应页面，就会触发XSS代码自动执行。

三、跨站请求伪造问题

跨站请求伪造（简称CSRF），是一种对网站的恶意利用。它经过假装普通用户的请求，来利用受信任的网站。与XSS***相比，CSRF***每每由于不太流行而致使难以防范。因此，咱们认为CSRF每每比XSS更具危险性。

四、缓存区溢出问题

缓冲区溢出是一种很是广泛存在的漏洞，普遍存在于各类操做系统、应用软件中。

利用缓冲区溢出***，能够致使程序出现运行失败、系统关机、从新启动等行为，或执行***者的指令，好比非法提高权限等。

在缓冲区溢出中，最为危险的就是堆栈溢出，它能够利用堆栈溢出，在函数返回时，将程序的地址修改成***者想要的任意地址，达到***者的目的。其最典型的例子，就是1988年利用fingerd漏洞进行***的蠕虫。

那么，解决这些页面***问题，有哪些可行的办法呢？

一、关于SQL注入类问题

对于猜想法和屏蔽法来讲，它们是SQL注入最基础的、最简单的方法。在测试过程当中，咱们须要注意命名规则，以及对关键词的屏蔽等。另外，咱们也须要在工做中，不断总结经验，更加深刻的学习猜测法和屏蔽法等。

二、关于跨站脚本***问题

关于反射型XSS，通常只有咱们本身点进连接，才能触发***者注入的XSS代码。这种方式的解决办法就是：慎点。

而存储型XSS则不一样。这种XSS比较危险，容易产生蠕虫，盗窃用户Cookie等危害。在作这类问题测试时，必定要对程序的代码有必定的认知，尤为是要检查程序中的敏感符号，例如：“/、“.”、“’”、“‘”、“＜”、“＞”、“？”等。检查这些特殊字符是否存在违规使用，或检查是否存在数据库字段、数据库类型以及长度的限制等，未进行处理的状况发生。

三、关于跨站请求伪造问题

简单判断是否存在CSRF漏洞的方法，就是经过抓取正常请求的数据包，而后经过去掉Referer字段，再从新提交。若是二次提交还有效，说明存在CSRF漏洞。

为了防止CSRF，经常使用的方法就是在AJAX异步请求地址中，添加Token并进行验证，从而下降CSRF出现的可能。

四、缓存区溢出问题

事实上，形成缓冲区溢出的缘由有不少。主要缘由有对输入、输出的数据没有限制大小、长度以及格式等，还有就是对用户的特殊操做没有作异常处理致使。

因此，在测试过程当中，咱们须要注意输入输出的大小长度以及格式规范限制，还有须要多模拟一些异常，关注异常的处理状况。

对Web应用软件来讲，安全性包含Web服务器、数据库、操做系统以及网络的安全等，只要其中任何一个部分出现安全漏洞，都会致使整个系统的安全性问题。Web安全测试是比较难解决的问题，这个取决于测试要达到什么程度。简单说软件不可能作到100%的测试，因此也不要指望能够达到100%的安全。

最后衷心但愿咱们的测试小达人们，能不断提高本身的业务水平，为互联网用户的隐私数据，作好保驾护航。

写在最后：

没有一个寒冬不会过去，没有一个春天不会到来，过去的2020年对于全世界人民来讲是不平凡的一年，每一个人都在坚强勇敢的和疫情抗战，在这里咱们一块儿为本身鼓个掌吧，2021年已经如约而至，制定好目标继续向上生长吧。