安全测试的checklist（整理）

       1. 不登录系统，直接输入登录后的页面的url是否可以访问

       2. 不登录系统，直接输入下载文件的url是否可以下载，如输入http://url/download?name=file是否可以下载文件file

       3. 退出登录后按后退按钮能否访问之前的页面

       4. ID/密码验证方式中能否使用简单密码。如密码标准为6位以上，字母和数字混合，不能包含ID，连续的字母或数字不能超过n位

       5. 重要信息（如密码，身份证号码，信用卡号等）在输入或查询时是否用明文显示；在浏览器地址栏里输入命令< scrīpt ><javascrīpt:alert(doucument.cookie)></ scrīpt >时是否有重要信息；在html源码中能否看到重要信息

       6. 手动更改URL中的参数值能否访问没有权限访问的页面。如普通用户对应的url中的参数为l=e，高级用户对应的url中的参数为l=s，以普通用户的身份登录系统后将url中的参数e改为s来访问本没有权限访问的页面

       7. url里不可修改的参数是否可以被修改

       8. 上传与服务器端语言（jsp、asp、php）一样扩展名的文件或exe等可执行文件后，确认在服务器端是否可直接运行

       9. 注册用户时是否可以以'--,' or 1=1 --等做为用户名

       10. 传送给服务器的参数（如查询关键字、url中的参数等）中包含特殊字符（','and 1=1 --,' and 1=0 --,'or 1=0 --）时是否可以正常处理

       11. 执行新增操作时，在所有的输入框中输入脚本标签（<scrīpt>alert("")</scrīpt>）后能否保存

       12. 在url中输入下面的地址是否可以下载：http://url/download.jsp?file=C:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/passwd

       13. 是否对session的有效期进行处理

       14. 错误信息中是否含有sql语句、sql错误信息以及web服务器的绝对路径等

       15. ID/密码验证方式中，同一个账号在不同的机器上不能同时登录

       16. ID/密码验证方式中，连续数次输入错误密码后该账户是否被锁定

       17. 新增或修改重要信息（密码、身份证号码、信用卡号等）时是否有自动完成功能（在form标签中使用autocomplete=off来关闭自动完成功能）

       以上内容为大家介绍了安全测试的checklist（整理），本文由多测师亲自撰写，希望对大家有所帮助。了解更多软件测试相关知识：https://www.duoceshi.com/xwzx-hydt/