¿Cómo comprobar la seguridad del sitio web?

Desarrolle un plan de prueba, determine el alcance de la prueba y la estrategia de prueba; una prueba de seguridad WEB completa puede comenzar desde la implementación y la infraestructura, verificación de entrada, autenticación, autorización, gestión de configuración, datos confidenciales, gestión de sesiones, cifrado, operación de parámetros, gestión de excepciones, auditoría y registro y otros aspectos. Dé algunos ejemplos

1. Pruebas del sistema de seguridad

1. Implementación e infraestructura: si la red proporciona comunicación segura; si la topología de implementación incluye un firewall interno; ¿Cuáles son las limitaciones de los requisitos de seguridad de la infraestructura del servidor de aplicaciones remotas? ¿Qué niveles de confianza admite el entorno de destino? 2. Validación de entradas, ¿cómo validar las entradas?

1) Si el punto de entrada es claro

2) Si el límite de confianza es claro

3) Si la entrada de la página web está verificada

4) Si validar los parámetros pasados ​​al componente o servicio web

5) Si validar los datos recuperados de la base de datos

6) Si centralizar el método

7) Si se debe confiar en la verificación del cliente

8) Si la aplicación es vulnerable a ataques de inyección SQL

9) Si la aplicación es vulnerable a ataques XSS

3. ¿Cómo lidiar con eso? Autenticación

1) Si se debe distinguir entre acceso público y acceso restringido

2) Si los requisitos de la cuenta de servicio son claros

3) Cómo verificar la identidad de la persona que llama

4) Cómo verificar la identidad de la base de datos

5) Si se deben forzar medidas de administración de cuentas de prueba

4. p>1) Cómo enviar la autorización del usuario final

2) Cómo autorizar aplicaciones en la base de datos

3) Cómo limitar el acceso a los recursos a nivel del sistema

5. Gestión de la configuración

1) Si se admite la gestión remota

2) Si se garantiza la seguridad del almacenamiento de la configuración

3) Si se aíslan los privilegios de administrador

6. Datos confidenciales

1) Si se debe almacenar información confidencial

2) Cómo almacenar datos confidenciales

3) Si se debe transmitir datos confidenciales en la red

4) Si se deben registrar datos confidenciales