web應用的安全性是每個應用必須滿足的非功能需求之一，安全測試涉及的內容很多，這裡主要對安全測試後常見問題的修改做乙個簡單記錄，如果有相同問題可以略做參考。
跨站指令碼攻擊包括反射型和持久型，也就是按照攻擊指令碼資訊是否儲存到應用的資料中來劃分的。跨站指令碼主要就是客戶輸入的資訊中含有惡意指令碼資訊，所以防禦措施也就是要做好輸入資訊的驗證，同時要知道客戶端驗證都是不安全的，所有輸入項也是不安全的，必須對所有輸入項做資料驗證。（這裡面的輸入項不僅是使用者輸入的資訊，也包括所有傳入後台會被使用的資訊）。
對字段做業務驗證是比較好的處理方式，也有採用filter過濾敏感字元，如果存在敏感字元則顯示提示資訊，並終止請求的方式，但是這種方式由於不區分引數內容，會造成有意義的引數也會被過濾，造成誤殺。所以還是專案開始階段就要求所有開發人員做好業務驗證更為妥當，後期為了安全問題再加乙個filter帶來的***將會很頭疼。
設定密碼控制項autocomplete為off
簡單的修改方法是驗證請求的header中referer是否**為同樣的服務。但是referer也可以被偽造，這樣驗證就會失效。可靠性高的做法是請求頁面中增加乙個token欄位，通過每次請求的唯一隨機字段驗證是否是當前頁面傳送的請求，這麼修改需要各個jsp都增加相同處理邏輯。如果只是想通過安全測試的話，驗證referer的方式就可以。
採用登入頁面中將session和cookie失效，登入後重新生成session的方式。
Web應用安全測試
什麼是測試 經歷測試過程 給出檢驗或者證明 分配一項基於試驗的評估。安全測試則是按照一組標準比較系統或者應用程式安全狀態的過程。為什麼要測試 驗證是否達標，是否存在質量問題。另外 a.web安全漏洞嚴重，佔整個漏洞威脅的80 以上 一不留神就會造成經濟財產損失乃至觸犯法律 b.可以帶來不錯的工作，額...
安全測試，web安全
web分為好幾層，一圖勝千言 完全沒有基礎我該從哪下手？完全沒有基礎學習 web 安全是件比較難的事情，所以我給出的最小的方案和最少的建議。工具 先用 awvs 掃幾個測試 大體了解一下 把掃到的漏洞復現，了解怎麼利用，主要了解 xsssql 注入 遠端 執行 開發 書籍 細說 php 實踐 使用 ...
web安全測試
web安全 認證與授權 1.認證2.授權3.避免未經授權的頁面可以直接訪問 session與cookie 1.session，cookie欺騙2.避免儲存敏感資訊到cookie檔案中3.作用域 不同的系統應用不同的作用域 ddos拒絕服務攻擊 1，伺服器傳送請求2.肉雞3.攻擊聯盟4.需要技術的是利...