web安全测试包括哪些：分模块实操项

web安全测试包括哪些，完整覆盖身份认证、会话管理、输入验证、权限控制、敏感数据、业务逻辑、服务器配置、文件上传、接口安全、客户端安全共十大方向，你可以按照OWASPTop10逐项开展，先做自动化扫描快速定位漏洞，再手工渗透验证真伪，自动化工具只能发现表面缺陷，高风险逻辑漏洞必须依靠人工测试，该测试体系适用对外可访问的网站、后台管理系统、小程序web端，内网纯管理后台且无外网入口的系统，可删减业务逻辑与接口爆破类测试项。

web安全测试：身份与会话测试

身份认证测试重点核验账号登录机制，你需要尝试弱密码、暴力枚举验证码、绕过登录页面直接访问后台地址，检测是否存在验证码复用、前端校验绕过的问题。会话管理检查Cookie属性，查看是否缺少HttpOnly、Secure标识，验证会话ID是否存在固定不变、注销后会话未失效的情况，攻击者拿到会话Cookie就能直接接管账号。

会话劫持是高频风险点。

web安全测试：输入与注入类测试

输入验证测试针对页面所有输入框、URL参数、接口传参，核心是检测各类注入漏洞，SQL注入通过拼接数据库语句读取、修改后台数据，XSS跨站脚本注入恶意JS代码窃取用户Cookie，命令注入会让服务器执行系统指令。你提交特殊字符payload时，要区分前端过滤和后端过滤，前端限制可以直接通过抓包工具修改请求包绕过，不能仅凭页面提示判定安全。

web安全测试：权限与业务逻辑测试

权限控制测试分为水平越权和垂直越权，水平越权指同级别用户查看他人数据，比如修改用户ID参数读取别人订单；垂直越权是低权限账号直接访问管理员接口，获得后台操作权限。业务逻辑测试不依赖payload，需要模拟真实用户操作流程，测试支付金额篡改、重复提交订单、优惠券无限领取等业务漏洞，这类漏洞自动化扫描工具检出率偏低，大多只能手工发现。

web安全测试：文件上传与服务器配置测试

文件上传测试上传后缀修改的脚本文件，检测服务端是否校验文件真实类型，部分系统仅校验文件名后缀，修改后缀就能上传webshell，拿到服务器权限。服务器配置测试检查目录遍历、默认页面、不必要开放端口，查看是否暴露服务器版本、路径信息，检测是否存在未修复的已知CVE漏洞，多余的服务器报错页面会泄露代码路径，辅助攻击者进一步探测。

web安全测试：接口与敏感数据测试

接口安全测试针对REST、AJAX接口，测试未授权访问、接口参数篡改、重放攻击，捕获正常请求包，重复发送请求验证接口是否校验请求时效性。敏感数据测试检查数据传输和存储环节，传输过程未使用HTTPS会导致数据明文传输，数据库中密码明文存储属于严重缺陷，页面响应包不能返回手机号、身份证等完整隐私信息，需要做掩码处理。

web安全测试：客户端与附加项测试

客户端安全测试检查前端代码，前端JS硬编码密钥、接口地址会造成信息泄露，前端本地存储敏感信息存在泄露风险。附加测试项包含CSRF跨站请求伪造，伪造请求诱导用户在已登录状态执行非自愿操作；SSRF服务端请求伪造，利用服务器发起请求探测内网资产。

该测试体系的适用边界是，所有测试操作必须提前获得系统所有者书面授权，未授权开展web安全测试属于违法行为，会承担民事及刑事责任。

测试完成后，按漏洞风险等级划分高危、中危、低危，输出漏洞位置、复现步骤、修复建议，高危漏洞优先修复，修复完成后执行回归测试，确认漏洞被封堵。