src-登陆框的常见测试思路

2024-08-28 10:04
文章标签 常见 测试 登陆 思路 src

本文主要是介绍src-登陆框的常见测试思路,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

常见的登陆形式

第三方平台 OAuth 认证

用户名 + 密码

手机号 + 短信验证码

邮箱 + 邮件验证码

登陆框的常见测试思路

弱口令

弱口令指的是人为设定、复杂度较低的密码口令

为系统账户(尤其是管理员账户)设置弱口令会使得整个系统的身份认证模块形同虚设

在测试这一块的时候,要先简单尝试一下后再进行爆破

1. 登陆的接口是否有频率的限制?是否有限制错误尝试的次数?如果限制了的话是否可以绕过?

2. 登陆的时候是否有多余的提示?如果没有的话要观察响应包是否存在细微的差别?

3. 登陆的时候是否存在验证码?验证码是否可以绕过?

在测试的过程中,面对不同的情景有不同的测试方法

【用户名 & 密码 未知】测试方法:

1. 先尝试 Top 10 常用用户名 + Top 100 弱口令(或者 123456 ) 来爆破

2. 再尝试用 Top 500 常用用户名 + Top 10 弱口令(或者 123456 )来爆破

3. 若无结果,再尝试用 Brute Force 爆破用户名 + Top 10 弱口令

4. 若还无结果,尝试几个常见的 管理员用户名(admin、sa、administrator、manager) + Brute

Force 爆破密码

【用户名 已知 & 密码 未知】测试方法:

1. 先尝试 已知用户名 + 密码 Top 100 / Top 1000 / Top 6000(取决于已知用户名的多少,多则字典

小点,少则字典大点)

2. 直接莽它就完了 已知用户名 + 300w 大字典 或者 已知用户名 + Brute Force 爆破密码(优先后 者)

SQL 万能账号 / 密码 

本质上是因为将未经处理的用户输入直接拼接到 SQL 语句中被执行导致的身份认证绕过

猜测 SQL 语句: SELECT * FROM cms_admin WHERE username='admin' AND passwd='wobuzhidao'

绕过后 SQL 语句: SELECT * FROM cms_admin WHERE username='admin'or''='' AND

passwd='wobuzhidao' 会发现其中有个 'admin'or''='' AND passwd='wobuzhidao' 永真

放到业务逻辑里就是在数据库中匹配到一条数据,识别为合法用户

测试方法:

1. 尝试传入 admin / 123456 ,观察页面是否有多余的提示(即不存在的用户名、密码错误等提示)

2. 若第一步能判断出 admin 为存在的用户,再尝试 admin'and'1'='1 ,观察是否与先前的提示一

3. 尝试将单引号改为双引号,再尝试一遍并观察与先前的提示是否一致。

4. 若不一致,可能不存在 SQL 注入;若一致,则尝试 admin'and''=' ,观察是否能成功登陆

未授权接口 & 页面 

常规测试方法:

1. FindSomething 火狐插件找 登陆框 就能发现的接口。

2. 复制插件里的路径,然后丢 Bp 里跑一遍,要是大多是 404,就去前端 js 找一下是不是有前缀,有

前缀加上前缀再跑一次。

3. 在跑完之后如果发现一些隐藏的页面,就尝试去访问它。如果没跳转就用 Bp 抓包,每个功能点都

尝试点一下看看有没数据返回;如果有跳转的话,就开 BP 拦截住,这个时候再看看

FindSomething 插件有没显示出一些别的接口,如果有的话再丢 Bp 里跑一遍。

对于遇到的几种不同情况的处理方式:

1. 405 Method Not Allowed:译为方法不允许,这个时候可以尝试把 GET/POST 改为 OPTIONS,看

看返回了啥请求方法就可以用啥请求方法,如果使用 OPTIONS 也 405,就直接尝试改为 PUT、

DELETE...

2. 参数缺失 / 缺少 XXX 参数:这个时候可以考虑去前端根据这个接口的关键字去找需要传入的参数,

如果有提示缺少啥参数,就根据提示的参数进行拼接就好。

3. Unsupported Media Type / 不支持内容类型 application/xxxx:这个时候可以考虑将 Content

Type 更改为其他的内容类型,例如 json、x-www-form-urlencoded、multipart/form-data...

4. 403 Forbidden:译为禁止,当你去直接通过 URL 访问一个目录的时候,经常会出现 403

Forbidden,这实际上是一个标志,表明这个地方存在该目录但不允许你直接访问。

前端欺骗

前端欺骗实际上就是更改服务端的响应内容或者前端的一些内容

从而让前端以为我们通过认证,解析一些只有授权用户才能看到的内容

常规的测试方法:

1. 正常登陆流程走一遍,观察响应包的内容,特别留意哪些 0、1、true、false这种看起来像是用来

判断用户权限的凭证。

2. 根据猜测,尝试修改响应包的内容,看是否会跳转到新的页面。如果修改响应包的内容页面无任何

变化的话,就得根据响应包的一些关键字去前端搜索,看有没有一些写好的状态码,例如说:if

(status == "53001") ,这个时候我们就可以尝试将响应包的相似的一些值给改成我们先前发现的状

态码,最后看是否有跳转。

这篇关于src-登陆框的常见测试思路的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1114450

相关文章

JSON Web Token在登陆中的使用过程

《JSONWebToken在登陆中的使用过程》:本文主要介绍JSONWebToken在登陆中的使用过程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录JWT 介绍微服务架构中的 JWT 使用结合微服务网关的 JWT 验证1. 用户登录,生成 JWT2. 自定义过滤

java常见报错及解决方案总结

《java常见报错及解决方案总结》:本文主要介绍Java编程中常见错误类型及示例,包括语法错误、空指针异常、数组下标越界、类型转换异常、文件未找到异常、除以零异常、非法线程操作异常、方法未定义异常... 目录1. 语法错误 (Syntax Errors)示例 1:解决方案:2. 空指针异常 (NullPoi

C++常见容器获取头元素的方法大全

《C++常见容器获取头元素的方法大全》在C++编程中,容器是存储和管理数据集合的重要工具,不同的容器提供了不同的接口来访问和操作其中的元素,获取容器的头元素(即第一个元素)是常见的操作之一,本文将详细... 目录一、std::vector二、std::list三、std::deque四、std::forwa

MySQL常见的存储引擎和区别说明

《MySQL常见的存储引擎和区别说明》MySQL支持多种存储引擎,如InnoDB、MyISAM、MEMORY、Archive、CSV和Blackhole,每种引擎有其特点和适用场景,选择存储引擎时需根... 目录mysql常见的存储引擎和区别说明1. InnoDB2. MyISAM3. MEMORY4. A

前端bug调试的方法技巧及常见错误

《前端bug调试的方法技巧及常见错误》:本文主要介绍编程中常见的报错和Bug,以及调试的重要性,调试的基本流程是通过缩小范围来定位问题,并给出了推测法、删除代码法、console调试和debugg... 目录调试基本流程调试方法排查bug的两大技巧如何看控制台报错前端常见错误取值调用报错资源引入错误解析错误

通俗易懂的Java常见限流算法具体实现

《通俗易懂的Java常见限流算法具体实现》:本文主要介绍Java常见限流算法具体实现的相关资料,包括漏桶算法、令牌桶算法、Nginx限流和Redis+Lua限流的实现原理和具体步骤,并比较了它们的... 目录一、漏桶算法1.漏桶算法的思想和原理2.具体实现二、令牌桶算法1.令牌桶算法流程:2.具体实现2.1

SpringBoot中整合RabbitMQ(测试+部署上线最新完整)的过程

《SpringBoot中整合RabbitMQ(测试+部署上线最新完整)的过程》本文详细介绍了如何在虚拟机和宝塔面板中安装RabbitMQ,并使用Java代码实现消息的发送和接收,通过异步通讯,可以优化... 目录一、RabbitMQ安装二、启动RabbitMQ三、javascript编写Java代码1、引入

Nginx设置连接超时并进行测试的方法步骤

《Nginx设置连接超时并进行测试的方法步骤》在高并发场景下,如果客户端与服务器的连接长时间未响应,会占用大量的系统资源,影响其他正常请求的处理效率,为了解决这个问题,可以通过设置Nginx的连接... 目录设置连接超时目的操作步骤测试连接超时测试方法:总结:设置连接超时目的设置客户端与服务器之间的连接

C++初始化数组的几种常见方法(简单易懂)

《C++初始化数组的几种常见方法(简单易懂)》本文介绍了C++中数组的初始化方法,包括一维数组和二维数组的初始化,以及用new动态初始化数组,在C++11及以上版本中,还提供了使用std::array... 目录1、初始化一维数组1.1、使用列表初始化(推荐方式)1.2、初始化部分列表1.3、使用std::

SQL 中多表查询的常见连接方式详解

《SQL中多表查询的常见连接方式详解》本文介绍SQL中多表查询的常见连接方式,包括内连接(INNERJOIN)、左连接(LEFTJOIN)、右连接(RIGHTJOIN)、全外连接(FULLOUTER... 目录一、连接类型图表(ASCII 形式)二、前置代码(创建示例表)三、连接方式代码示例1. 内连接(I