src-登陆框的常见测试思路

2024-08-28 10:04
文章标签 常见 测试 登陆 思路 src

本文主要是介绍src-登陆框的常见测试思路,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

常见的登陆形式

第三方平台 OAuth 认证

用户名 + 密码

手机号 + 短信验证码

邮箱 + 邮件验证码

登陆框的常见测试思路

弱口令

弱口令指的是人为设定、复杂度较低的密码口令

为系统账户(尤其是管理员账户)设置弱口令会使得整个系统的身份认证模块形同虚设

在测试这一块的时候,要先简单尝试一下后再进行爆破

1. 登陆的接口是否有频率的限制?是否有限制错误尝试的次数?如果限制了的话是否可以绕过?

2. 登陆的时候是否有多余的提示?如果没有的话要观察响应包是否存在细微的差别?

3. 登陆的时候是否存在验证码?验证码是否可以绕过?

在测试的过程中,面对不同的情景有不同的测试方法

【用户名 & 密码 未知】测试方法:

1. 先尝试 Top 10 常用用户名 + Top 100 弱口令(或者 123456 ) 来爆破

2. 再尝试用 Top 500 常用用户名 + Top 10 弱口令(或者 123456 )来爆破

3. 若无结果,再尝试用 Brute Force 爆破用户名 + Top 10 弱口令

4. 若还无结果,尝试几个常见的 管理员用户名(admin、sa、administrator、manager) + Brute

Force 爆破密码

【用户名 已知 & 密码 未知】测试方法:

1. 先尝试 已知用户名 + 密码 Top 100 / Top 1000 / Top 6000(取决于已知用户名的多少,多则字典

小点,少则字典大点)

2. 直接莽它就完了 已知用户名 + 300w 大字典 或者 已知用户名 + Brute Force 爆破密码(优先后 者)

SQL 万能账号 / 密码 

本质上是因为将未经处理的用户输入直接拼接到 SQL 语句中被执行导致的身份认证绕过

猜测 SQL 语句: SELECT * FROM cms_admin WHERE username='admin' AND passwd='wobuzhidao'

绕过后 SQL 语句: SELECT * FROM cms_admin WHERE username='admin'or''='' AND

passwd='wobuzhidao' 会发现其中有个 'admin'or''='' AND passwd='wobuzhidao' 永真

放到业务逻辑里就是在数据库中匹配到一条数据,识别为合法用户

测试方法:

1. 尝试传入 admin / 123456 ,观察页面是否有多余的提示(即不存在的用户名、密码错误等提示)

2. 若第一步能判断出 admin 为存在的用户,再尝试 admin'and'1'='1 ,观察是否与先前的提示一

3. 尝试将单引号改为双引号,再尝试一遍并观察与先前的提示是否一致。

4. 若不一致,可能不存在 SQL 注入;若一致,则尝试 admin'and''=' ,观察是否能成功登陆

未授权接口 & 页面 

常规测试方法:

1. FindSomething 火狐插件找 登陆框 就能发现的接口。

2. 复制插件里的路径,然后丢 Bp 里跑一遍,要是大多是 404,就去前端 js 找一下是不是有前缀,有

前缀加上前缀再跑一次。

3. 在跑完之后如果发现一些隐藏的页面,就尝试去访问它。如果没跳转就用 Bp 抓包,每个功能点都

尝试点一下看看有没数据返回;如果有跳转的话,就开 BP 拦截住,这个时候再看看

FindSomething 插件有没显示出一些别的接口,如果有的话再丢 Bp 里跑一遍。

对于遇到的几种不同情况的处理方式:

1. 405 Method Not Allowed:译为方法不允许,这个时候可以尝试把 GET/POST 改为 OPTIONS,看

看返回了啥请求方法就可以用啥请求方法,如果使用 OPTIONS 也 405,就直接尝试改为 PUT、

DELETE...

2. 参数缺失 / 缺少 XXX 参数:这个时候可以考虑去前端根据这个接口的关键字去找需要传入的参数,

如果有提示缺少啥参数,就根据提示的参数进行拼接就好。

3. Unsupported Media Type / 不支持内容类型 application/xxxx:这个时候可以考虑将 Content

Type 更改为其他的内容类型,例如 json、x-www-form-urlencoded、multipart/form-data...

4. 403 Forbidden:译为禁止,当你去直接通过 URL 访问一个目录的时候,经常会出现 403

Forbidden,这实际上是一个标志,表明这个地方存在该目录但不允许你直接访问。

前端欺骗

前端欺骗实际上就是更改服务端的响应内容或者前端的一些内容

从而让前端以为我们通过认证,解析一些只有授权用户才能看到的内容

常规的测试方法:

1. 正常登陆流程走一遍,观察响应包的内容,特别留意哪些 0、1、true、false这种看起来像是用来

判断用户权限的凭证。

2. 根据猜测,尝试修改响应包的内容,看是否会跳转到新的页面。如果修改响应包的内容页面无任何

变化的话,就得根据响应包的一些关键字去前端搜索,看有没有一些写好的状态码,例如说:if

(status == "53001") ,这个时候我们就可以尝试将响应包的相似的一些值给改成我们先前发现的状

态码,最后看是否有跳转。

这篇关于src-登陆框的常见测试思路的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1114450

相关文章

SQL BETWEEN 的常见用法小结

《SQLBETWEEN的常见用法小结》BETWEEN操作符是SQL中非常有用的工具,它允许你快速选取某个范围内的值,本文给大家介绍SQLBETWEEN的常见用法,感兴趣的朋友一起看看吧... 在SQL中,BETWEEN是一个操作符,用于选取介于两个值之间的数据。它包含这两个边界值。BETWEEN操作符常用

python中各种常见文件的读写操作与类型转换详细指南

《python中各种常见文件的读写操作与类型转换详细指南》这篇文章主要为大家详细介绍了python中各种常见文件(txt,xls,csv,sql,二进制文件)的读写操作与类型转换,感兴趣的小伙伴可以跟... 目录1.文件txt读写标准用法1.1写入文件1.2读取文件2. 二进制文件读取3. 大文件读取3.1

C++中初始化二维数组的几种常见方法

《C++中初始化二维数组的几种常见方法》本文详细介绍了在C++中初始化二维数组的不同方式,包括静态初始化、循环、全部为零、部分初始化、std::array和std::vector,以及std::vec... 目录1. 静态初始化2. 使用循环初始化3. 全部初始化为零4. 部分初始化5. 使用 std::a

前端下载文件时如何后端返回的文件流一些常见方法

《前端下载文件时如何后端返回的文件流一些常见方法》:本文主要介绍前端下载文件时如何后端返回的文件流一些常见方法,包括使用Blob和URL.createObjectURL创建下载链接,以及处理带有C... 目录1. 使用 Blob 和 URL.createObjectURL 创建下载链接例子:使用 Blob

C++ vector的常见用法超详细讲解

《C++vector的常见用法超详细讲解》:本文主要介绍C++vector的常见用法,包括C++中vector容器的定义、初始化方法、访问元素、常用函数及其时间复杂度,通过代码介绍的非常详细,... 目录1、vector的定义2、vector常用初始化方法1、使编程用花括号直接赋值2、使用圆括号赋值3、ve

Pytest多环境切换的常见方法介绍

《Pytest多环境切换的常见方法介绍》Pytest作为自动化测试的主力框架,如何实现本地、测试、预发、生产环境的灵活切换,本文总结了通过pytest框架实现自由环境切换的几种方法,大家可以根据需要进... 目录1.pytest-base-url2.hooks函数3.yml和fixture结论你是否也遇到过

Python获取C++中返回的char*字段的两种思路

《Python获取C++中返回的char*字段的两种思路》有时候需要获取C++函数中返回来的不定长的char*字符串,本文小编为大家找到了两种解决问题的思路,感兴趣的小伙伴可以跟随小编一起学习一下... 有时候需要获取C++函数中返回来的不定长的char*字符串,目前我找到两种解决问题的思路,具体实现如下:

C/C++错误信息处理的常见方法及函数

《C/C++错误信息处理的常见方法及函数》C/C++是两种广泛使用的编程语言,特别是在系统编程、嵌入式开发以及高性能计算领域,:本文主要介绍C/C++错误信息处理的常见方法及函数,文中通过代码介绍... 目录前言1. errno 和 perror()示例:2. strerror()示例:3. perror(

Go标准库常见错误分析和解决办法

《Go标准库常见错误分析和解决办法》Go语言的标准库为开发者提供了丰富且高效的工具,涵盖了从网络编程到文件操作等各个方面,然而,标准库虽好,使用不当却可能适得其反,正所谓工欲善其事,必先利其器,本文将... 目录1. 使用了错误的time.Duration2. time.After导致的内存泄漏3. jsO

MyBatis 动态 SQL 优化之标签的实战与技巧(常见用法)

《MyBatis动态SQL优化之标签的实战与技巧(常见用法)》本文通过详细的示例和实际应用场景,介绍了如何有效利用这些标签来优化MyBatis配置,提升开发效率,确保SQL的高效执行和安全性,感... 目录动态SQL详解一、动态SQL的核心概念1.1 什么是动态SQL?1.2 动态SQL的优点1.3 动态S