有時候，在測試中，發現開發僅僅只是加密了密碼就行了。因為他認為，只要用了不可逆的加密演算法，你怎麼破解，也沒法知道密碼是多少。但是，事實並不能這樣。
1、抓取登入的賬號和密碼
包中顯示的密碼是加密後的字串，但是我們可以不去破解這段密碼。而是.......
2、讓我們再抓一段密碼是我自己亂打的字串，和正確的密碼字串作為比對
3、接著，我們先將輸入正確的賬號和密碼提交到伺服器，檢視返回的內容
4、ok，那麼我們又將含著錯誤密碼的報提交到伺服器
5、我們看完兩個結果之後，讓我們將包裡錯誤的密碼替換成加密的正確密碼，再提交給伺服器
然後我們發現，提交給伺服器之後，返回的內容和直接使用正確密碼提交的一致。所以，只要抓到正確的密碼，不管加不加密，都能直接拿去登入。自然，後來我提出了給密碼加上時間戳等建議讓開發修復該漏洞。
jmete測試登入（MD5加密 密碼有變動）
1 問題描述 測試登入時，密碼一直顯示錯誤，檢視源 發現密碼組成形式為 var newpass jquery password val salt var finalpass hex md5 newpass jquery password val finalpass 當再次重新整理時，總的來說 密碼構...
安全性測試 以使用者登入為例
以使用者登入為例，安全測試需要注意哪些方面 密碼問題 驗證儲存在後台的使用者密碼是否加密。驗證使用者密碼在網路中傳輸是否加密。驗證使用者面是否具有時效性，到期後是否提示使用者更改密碼。驗證密碼輸入框是否支援複製和貼上 驗證使用者密碼 使用者登入 沒有登陸的前提之下，在瀏覽器的位址列中直接輸入登入後的...
web應用中，密碼安全性的加密規則
問題描述 在任何乙個需要有使用者參與的web應用中，就需要確保使用者賬號密碼的安全性。比較常見的是md5直接對密碼加密，或者是通過加入隨機數 鹽值salt 進行混淆加密。但這些規則對黑客來說並不是難事。那如何提高密碼的安全性？什麼是md5加密?md5的全稱是message digest algori...