关注云层天咨有助于升职加薪噢！
云 知道
比某知道更专业靠谱的知识分享平台关键词：认知web安全测试 不再懵
安全测试话题很大，是一个带有深度且涉及范围很广的内容，但是可以先缩小一下范围，让更多的人能简单的去理解什么是web安全测试，这也是最基础的安全之一。
最常见的web应用攻击技术跨站脚本攻击跨站脚本攻击（cross-site scripting，XSS）
跨站脚本是一种安全攻击的手段，通常很容易被忽略，这种方式通过动态接口将特殊的参数信息发送至服务器，而服务器又将参数内容放入了动态页面中，这样的情况多出现于一些查询的功能页，为了保持每次操作时能保留之前的操作条件和数据，但这恰巧会被利用，来看一个例子，当然不要认为里面说的输入就是用键盘输入了，js随随便便就可以挡出去，一般都需要通过接口来实现这个过程。
当有一个数值的条件，用户输入10，并提交查询，那么此时html内容为：
<input name="price" value="10" />
但是如果提交内容为这样，那么就变向执行了js的代码，可以做的事情会变很多
<input name="price" value="10" /><script>alert(123)</script>
SQL注入攻击SQL注入攻击（SQL injection）
SQL注入这种攻击方式，虽然在预防上做起来并不难，但是一旦疏忽导致了问题，危害是极大的，攻击者可以获得他想得到的任何内部数据，甚至可以通过此类方式突破登录、权限等一些关键逻辑的控制。那么这里通过一个简单的例子来看下，原本只能查询单个id的数据，就变化成了可以查所有的数据。
先看一个正常数据的情况
Select * From datatable where id = ‘test‘
再来一个被攻击后的效果
Select * From datatable where id = ‘test‘ or ‘1‘=‘1‘
恶意文件上传文件上传，顾名思义，就是一些网站会支持上传文件的功能，比如常见的就是图片，还有其他一些常见的文件类型，很多人认为这很简单啊，文件都有后缀名，判断一下即可，殊不知后缀名也是人家随便决定的，想写什么都可以，然后新的办法出现了，上传时协议中还会有MIME类型，大多web服务都可以配置允许通过的MIME类型，或者可以自行判断筛选MIME类型，便做到了防护的作用，可惜，MIME也是可伪造的，只是相对后缀名来说修改不是那么容易，需要通过修改接口数据来做，基本没有工具可以直接自动的检测该问题。
如有想知道如何应对恶意文件的上传，记得回复哦，我们将在后面的专题中见分晓。
end当然总体来说世界上不存在绝对安全的事物，不仅仅是计算机，任何人类活动中都潜伏着危险因素。我们只能说是尽可能的避免安全问题，甚至是预防可能发生的问题。
云知道专业知识分享平台你有问题吗？ 可以在云知道专题里直接留言哦，如被选中，将会是下一期的问答内容，将会由专业高手来进行解答，多次被选中者还将获得云层天咨提供的礼品一份，记得多关注哦~
全栈测试聚集地测试学习 | 测试交流 | 测试招聘 
公众号回复专栏名或数字“2”即可浏览往期内容哦