网页前端安全测试（前端web安全）

本篇文章给大家谈谈网页前端安全测试，以及前端web安全对应的知识点，希望对各位有所帮助，不要忘了收藏本站喔。 今天给各位分享网页前端安全测试的知识，其中也会对前端web安全进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！

本文目录一览：

• 1、Web前端站点有哪些功能测试的方法
• 2、安全测试包含哪些内容
• 3、HTML5技术分享 浅谈前端安全以及如何防范
• 4、请问我是女生现从事Web前端工作，我想转测试类的工作，比如前端测试好转么？

Web前端站点有哪些功能测试的方法

有些测试方法的界限比较模糊，比如功能测试的同时会穿插一些兼容性和安全性的测试，以下列出简单的一些点，可以参考下：
1、该页所提供的功能逻辑方面有无问题；
2、各输入项的合法性测试、输入顺序；(是否只做了前端的js验证)
3、该页权限，既无访问权限的用户能否直接访问该页；
4、不同浏览器下该页的显示；
5、该页链接的参数是否可以修改，对功能的影响；
7、多个页面打开该页，进行操作，是否有不合法的影响；
8、网络环境异常情况下系统的处理；
9、页面链接是否正确；
10、cookies测试；

安全测试包含哪些内容

安全测试内容
1、前端数据内容抓取
a、指定内容的抓取
对于关键内容比如userid, 投资金额等的数据进行修改
b、隐藏字段内容的抓取
对于页面type='hidden'的组件网页前端安全测试，尝试下是否可以进行修改及修改后的效果。
比如新手标的redmoney_id就是在页面里隐藏着，发现规律的话，可以将普通标买成新手标。
http cookie 也可以认为是一个隐藏的字段
尝试修改cookie
2、前端相关参数的修改
a、URL参数，主要针对是get请求的变量
b、referer, referer消息头可以准确的判断某个特殊的请求来自哪个url。所有正常的请求都来自已知的且是网页前端安全测试我们自己系统的url
将feferer修改后，看看效果
c、模糊数据
对于某些加密数据，可以尝试去进行解密
即使无法解密，我们也可以将一个更加便宜的商品加密价格 修改到一个贵的商品的加密价格上
3、安全处理客户端数据
a、减少客户端向服务器传输的数据，比如某个产品的价格，只要将购买产品的相关其网页前端安全测试他属性传给服务器，后台服务主动去查一下产品的价格即可。
减少数据传输从业务上来决定
b、如果确实需要进行传输数据，对必要的数据一定要进行加密。
攻击验证机制
1、验证技术
a、基于HTML表单的验证
b、多元机制，组合型密码和物理令牌
c、客户端ssl证书或智能卡
d、http基本和摘要验证
2、问题
a、密码保密性不强
空白，太短的密码，常用密码，密码和用户名一致，密码尝试无限制等
b、记住我功能
确认记住我功能是只记住用户名网页前端安全测试？ 还是记住用户名和密码？如果是第一种，还比较安全
如果是记住用户名和密码，则可以查看cookie在记住和不记住之间的区别
c、找回密码，修改密码等功能一般存在的都是逻辑漏洞
攻击数据存储区
SQL注入:
username= ' or 1=1
select * from user_main where username = '' or 1=1
username= ' or 1=1 --
select * from user_main where username= '' or 1=1 --
现在web应用系统的程序安全意识很强，所以sql注入漏洞也越来越少
对于update
update users set password='newsecret' where user='marcus' and password = 'secret'
user= admin' --
字符串渗透测试步骤：
1、提交一个单引号作为查询目标，查看是否有错误
2、如果有错误或异常，提交两个单引号，看什么情况。
数字注入：
1、如果原始值为2， 尝试提交 1+1 或者3-1
2、可以使用 67- ASCII('A') 来表示 2
最简单直接的方式，可以使用sqlmap对网站进行sql注入检测
http://www.freebuf.com/articles/web/29942.html
sql 注入的防御措施
1、对于输入内容的过滤
2、参数化查询，避免sql的拼接
3、深层防御，访问数据库时，应用程序尽可能使用最低权限的账户
尽可能将数据库一些默认的功能关闭
尽可能及时对数据库本身的漏洞安装安全补丁
注入nosql :
接口的安全测试：
1. 请求合法性校验，考虑采用token方式保证接口不被其他人访问。
2. 数据校验，白名单方式验证数据确保不出现异常数据和注入攻击。
3. 数据加密，对数据进行加密保证其他人无法非法监听或截取。
4. 错误处理，对系统返回结果编制返回码，避免堆栈信息泄露。
5. 接口阈值，对接口访问频率设置阈值，超出设定的访问频率时返回错误码。
测试后端组件
1、注入操作系统命令
2、OS命令注入漏洞
3、路径遍历漏洞
4、防止脚本注入漏洞

HTML5技术分享 浅谈前端安全以及如何防范

随着互联网的发达，各种WEB应用也变得越来越复杂，满足了用户的各种需求，但是随之而来的就是各种网络安全的问题。作为前端开发行业的我们也逃不开这个问题。所以今天我就简单聊一聊WEB前端安全以及如何防范。

首先前端攻击都有哪些形式，我们该如何防范?

一、XSS攻击

XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植 入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻 击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型 的漏洞由于被黑客用来编写危害性更大的网络钓鱼(Phishing)攻击而变得广为人知。

XSS攻击的危害包括：

1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号

2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力

3、盗窃企业重要的具有商业价值的资料

4、非法转账

5、强制发送电子邮件

6、网站挂马

7、控制受害者机器向其它网站发起攻击

XSS攻击的具体表现：

1、JavaScript代码注入

下面是代码的页面

这段代码的作用是把第一个输入框的字符串，输出到第二个输入框，我们输入1，那么第二个input里的value值就是1，下面是页面的截图和源代码的截图(这里我输入下面的代码来测试)

<SCRIPTalert('xss')</SCRIPT

明显的可以看到，并没有弹出对话框，大家可能会疑惑为什么没有弹窗呢，看看源代码

我们看到我们输入的字符串被输出到第15行input标签里的value属性里面，被当成value里的值来显现出来，所以并没有弹窗，这时候我们该怎么办呢?聪明的人已经发现了可以在

<SCRIPTalert('xss')</SCRIPT

前面加个"来闭合input标签。所以应该得到的结果为

成功弹窗了，我们在看看这时的页面

看到后面有第二个input输入框后面跟有"字符串，为什么会这样呢，我们来看看源代码

解决办法：目前来讲，最简单的办法防治办法，还是将前端输出数据都进行转义最为稳妥，虽然显示出来是有script标签的，但是实际上，script标签的左右尖括号(<)，均被转义为html字符实体，所以，便不会被当做标签来解析的，但是实际显示的时候，这两个尖括号，还是可以正常展示的。

2、append的利用

上一小节我们防住了script标签的左右尖括号，但聪明的黑客们还是想出了好办法去破解，我们知道，直接给innerHTML赋值一段js，是无法被执行的。比如，

$('div').innerHTML ='<SCRIPTalert("okok");</SCRIPT '';

但是，jQuery的append可以做到，究其原因，就是因为jquery会在将append元素变为fragment的时候，找到其中的script标签，再使用eval执行一遍。jquery的append使用的方式也是innerHTML。而innerHTML是会将unicode码转换为字符实体的。

利用这两种知识结合，我们可以得出，网站使用append进行dom操作，如果是append我们可以决定的字段，那么我们可以将左右尖括号，使用unicode码伪装起来，就像这样--"\u003cscript\u003ealert('xss');"。接下来转义的时候，伪装成\u003的<会被漏掉，append的时候，则会被重新调用。虽然进行了转义，注入的代码还是会再次被执行

3、img标签的再次利用

img标签，在加载图片失败的时候，会调用该元素上的onerror事件。我们正可以利用这种方式来进行攻击。

但是，如果这张图片的地址我们换种写法呢?

这时的源码已经变为--src为空，但是onerror的时候，执行注入代码。我们刷新查看页面，就会发现，代码注入已经成功，需要继续转义。

二、 CSRF攻击

什么是CSRF攻击?

CSRF(Cross-site request forgery跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。其实就是网站中的一些提交行为，被黑客利用，你在访问黑客的网站的时候，进行的操作，会被操作到其他网站上(如：你所使用的网络银行的网站)。

1、要合理使用post与get

通常我们会为了省事儿，把一些应当提交的数据，做成get请求。殊不知，这不仅仅是违反了http的标准而已，也同样会被黑客所利用。

比如，你开发的网站中，有一个购买商品的操作。你是这么开发的：

那么，黑客的网站可以这样开发：

这样的话，用户只需要访问一次黑客的网站，其实就相当于在你的网站中，操作了一次。然而用户却没有感知。

所以，我们日常的开发，还是要遵循提交业务，严格按照post请求去做的。更不要使用jsonp去做提交型的接口，这样非常的危险。

2、xsrf攻击升级

如果你使用了post请求来处理关键业务的，还是有办法可以破解的。我们的业务代码如下：

黑客代码如下：

点击后，用户进行了提交，却连自己都不知情。这种情况如何防御呢?

最简单的办法就是加验证码，这样除了用户，黑客的网站是获取不到用户本次session的验证码的。但是这样也会降低用户的提交体验，特别是有些经常性的操作，如果总让用户输入验证码，用户也会非常的烦。

另一种方式，就是在用访问的页面中，都种下验证用的token，用户所有的提交都必须带上本次页面中生成的token，这种方式的本质和使用验证码没什么两样，但是这种方式，整个页面每一次的session，使用同一个token就行，很多post操作，开发者就可以自动带上当前页面的token。如果token校验不通过，则证明此次提交并非从本站发送来，则终止提交过程。如果token确实为本网站生成的话，则可以通过。

代码如下

并没有携带本站每次session生成的token，则提交失败。

本站的网站form，则都会自动携带本站生成的token

再次使用本站的网页进行提交，则通过

当然，上面的只是例子，具体的token生成，肯定是要随着session与用户ID去变的，如果各位看官觉得自己的网站也需要加个token，请自行百度，进行深入的学习。

三、网络劫持攻击

很多的时候，我们的网站不是直接就访问到我们的服务器上的，中间会经过很多层代理，如果在某一个环节，数据被中间代理层的劫持者所截获，他们就能获取到使用你网站的用户的密码等保密数据。比如，我们的用户经常会在各种饭馆里面，连一些奇奇怪怪的wifi，如果这个wifi是黑客所建立的热点wifi，那么黑-客就可以结果该用户收发的所有数据。这里，建议站长们网站都使用https进行加密。这样，就算网站的数据能被拿到，黑客也无法解开。

如果你的网站还没有进行https加密的化，则在表单提交部分，最好进行非对称加密--即客户端加密，只有服务端能解开。这样中间的劫持者便无法获取加密内容的真实信息了。

四、控制台注入代码

不知道各位看官有没有注意到天猫官网控制台的警告信息，如图4.1所示，这是为什么呢?因为有的黑客会诱骗用户去往控制台里面粘贴东西(欺负小白用户不懂代码)，比如可以在朋友圈贴个什么文章，说:"只要访问天猫，按下F12并且粘贴以下内容，则可以获得xx元礼品"之类的，那么有的用户真的会去操作，并且自己隐私被暴露了也不知道。

天猫这种做法，也是在警告用户不要这么做，看来天猫的前端安全做的也是很到位的。不过，这种攻击毕竟是少数，所以各位看官看一眼就行，如果真的发现有的用户会被这样攻击的话，记得想起天猫的这种解决方案。

五、钓=鱼

钓鱼也是一种非常古老的攻击方式了，其实并不太算前端攻击。可毕竟是页面级别的攻击，我们也来一起聊一聊。我相信很多人会有这样的经历，Q-Q群里面有人发什么兼职啦、什么自己要去国外了房子车子甩卖了，详情在我Q-Q空间里啦，之类的连接。打开之后发现一个Q-Q登录框，其实一看域名就知道不是Q-Q，不过做得非常像Q-Q登录，不明就里的用户们，就真的把用户名和密码输入了进去，结果没登录到Q-Q，用户名和密码却给人发过去了。

其实这种方式，在前端也有利用。下面，我们就来试试如果利用前端进行一次逼真的钓鱼。

1 首先，我们在xx空间里分享一篇文章，然后吸引别人去点击。

2 接着，我们在cheat.php这个网站上面，将跳转过来的源网页地址悄悄的进行修改。

于是，在用户访问了我们的欺骗网站后，之前的tab已经悄然发生了变化，我们将其悄悄的替换为了钓鱼的网站，欺骗用户输入用户名、密码等。

3 我们的钓鱼网站，伪装成XX空间，让用户输入用户名与密码

这种钓鱼方式比较有意思，重点在于我们比较难防住这种攻击，我们并不能将所有的页面链接都使用js打开。所以，要么就将外链跳转的连接改为当前页面跳转，要么就在页面unload的时候给用户加以提示，要么就将页面所有的跳转均改为window.open，在打开时，跟大多数钓鱼防治殊途同归的一点是，我们需要网民们的安全意识提高。

六、我们平时开发要注意些什么?

开发时要提防用户产生的内容，要对用户输入的信息进行层层检测要注意对用户的输出内容进行过滤(进行转义等)重要的内容记得要加密传输(无论是利用https也好，自己加密也好)

get与post请求，要严格遵守规范，不要混用，不要将一些危险的提交使用jsonp完成。

对于URL上携带的信息，要谨慎使用。心中时刻记着，自己的网站哪里可能有危险。

请问我是女生现从事Web前端工作，我想转测试类的工作，比如前端测试好转么？

你做过前端开发，确实懂技术的测试比较吃香，因为他们无论在自动测试还是性能测试都有很大优势。如果只做功能测试会埋没你的能力

1.写测试用例，这个需要理清产品流程，你做过开发会简单些，然后设计自己测试的方法，以文字形式将所有操作表现出来，要覆盖所有功能点，正常异常等各种操作都要考虑到

2.自动测试相对手工测试来说比较高端，他也属于功能测试。通过脚本或自动测试工具来执行被测程序从而检查功能是否正确实现。自动测试只能检查已经发现的BUG是否重现，或能否正确执行被测程序。通常用以回归测试和重复测试。他不能发现新的BUG。

3.性能测试。这个需要网络知识，代码能力，计算机知识等，如果只是录制脚本运行脚本，那么每个人都能做，主要的是分析瓶颈，相信大多数开发也没这个能力，所以在我的认知里性能是最难的。

4.安全测试，一听肯定需要网络安全方面的知识

5.本地化测试。合格必须需要的是语言能力，然后是功能测试的能力。

其实无论那种测试，都是以功能测试为基础。

其他测试就不一一列举了。如果只做功能测试，除了设计测试用例，其他就是执行测试用例，只要测试用例写的好，谁都能做，这个“谁都能做”是用例写的好的前提。

测试主要是一个覆盖率的问题。虽说不能百分百覆盖所有组合的操作。但是好的测试人员能够更全面的考虑测试方法。

关于网页前端安全测试和前端web安全的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。 网页前端安全测试的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于前端web安全、网页前端安全测试的信息别忘了在本站进行查找喔。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。