类别 | 测试项 |
认证鉴权 | 登录密码是否加密 |
是否可猜解用户名 | |
是否可批量注册用户 | |
是否存在验证码 | |
验证码有效性 | |
是否登录会话固定 | |
会话ID是否足够复杂 | |
注销功能是否有效 | |
登录身份校验算法是否可逆 | |
修改密码处是否验证旧密码 | |
Cookie中是否存在敏感信息 | |
信息泄露 | 是否存在中间件错误页面 |
是否暴露异常处理报错信息 | |
是否存在源代码泄露 | |
源代码注释信息 | |
是否存在用户敏感信息明文传输 | |
文件I/O | 是否存在任意文件上传 |
是否存在任意文件下载 | |
是否存在文件包含漏洞 | |
数据验证 | 是否存在反射型XSS |
是否存在存储型XSS | |
是否存在DOM型的XSS | |
是否存在SQL注入漏洞 | |
是否存在命令执行漏洞 | |
是否存在URL跳转漏洞 | |
是否http头CRLF注入 | |
是否存在SSRF漏洞 | |
是否存在跨站请求伪造漏洞 | |
逻辑流程 | 是否存在横向越权 |
是否存在垂直越权 | |
是否存在逻辑绕过 | |
是否存在未授权访问 | |
组件安全 | 是否存在中间件组件漏洞 |
是否开发组件漏洞 | |
接口安全 | 是否存在短信炸弹漏洞 |
是否存在邮件炸弹漏洞 | |
是否存在微信推送炸弹漏洞 | |
其他 | 是否存在危险的HTTP方法 |
是否CORS配置不当 | |
是否能存在HOST攻击 | |
是否存在接口请求未鉴权 |
补充学习
Java Web 安全-代码审计(一)
https://www.wangan.com/articles/932
Java Web 安全-代码审计(二)
https://www.wangan.com/articles/933
Java Web 安全-代码审计(三)
https://www.wangan.com/articles/934
推荐阅读
https://github.com/mylamour/blog/issues/41
点赞 在看 评论
作者:安全小哥
来源:CSDN
原文始发于微信公众号(HACK学习呀):JAVA代码审计业务安全Checklist
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论