网站SRC挖漏洞测试点-总结网站测试点
2025-12-24 14:14:39 0 举报AI智能生成
在进行网站SRC（安全应急响应中心）漏洞挖掘时，核心关注点包括但不限于：输入验证、权限控制、认证机制、会话管理、数据加密与隐私保护、错误处理与日志记录、API安全、第三方服务集成、配置管理、跨站脚本（XSS）、跨站请求伪造（CSRF）、SQL注入、文件上传漏洞等。测试文件类型通常涉及常见的网页文件（HTML、CSS、JavaScript）、服务器端脚本文件（如PHP、Python、Java等）、数据库文件和配置文件等。修饰语可包括但不限于"全面"、"系统性"、"细致"、"深入"，强调对每一个测试点的覆盖范围和细节关注程度。通过这种全面而细致的测试，旨在发现并修复潜在的安全漏洞，确保网站的整体安全性。
作者其他创作
大纲/内容
常见端口和漏洞
端口服务对应
1009 rmi命令执行
8000 jdwp java命令执行
873 rsync未授权
5984 couchdb _utils
6379 redis未授权
7001.7002 weblogic反序列化
9200，9300 elasticsearch未授权
11211 memcache未授权
27017，27018 mongodb未授权
50000 SAP命令执行
50060，50070，50030 HADOOP未授权
2375 docker未授权
2601，2604 zebra
4440 rundeck未授权
4848 galssfish弱口令命令执行
9000 fcigphp代码执行
9043 webpgere默认口令admin/admin
测试技巧
并发功能测试技巧
收藏
点赞
关注
支付
优惠券
订单支付
短信接收
文件上传
提现
重置
存在提交数据的地方都可以并发
FUZZ测试技巧
目录FUZZ
文件FUZZ
参数FUZZ
参数值FUZZ
隐藏参数FUZZ
bypassFUZZ
任何地方都可以FUZZ
枚举技巧
用户枚举
验证码枚举
账号密码爆破
参数值枚举
提交数据包地方都可以枚举
增删改技巧
参数替换
参数双写
参数删除
参数修改
参数增加
存在参数提交的地方都可以增删改
功能点测试
用户身份
用户注册
任意用户注册
任意用户枚举
自动注册
遍历账号
短信\邮件DDOS
明文传输
不安全的协议
用户登录
遍历账号
暴力破解密码
明文传输
SQL注入
找回密码
短信邮件DDOS
日志包含敏感信息
收取凭证地址可修改
账号遍历
图片和短信验证码问题
越权修改他人密码
短信验证码
短信验证码轰炸
验证码回显
验证码爆破
验证码转发
任意验证码
固定验证码
验证码和手机未绑定信任关系
修改返回包绕过验证码
验证码为空
短信轰炸
利用空格绕过短信条数限制
修改cookie值绕过短信次数
利用接口标记绕过短信限制
修改IP绕过短信
特殊字符绕过
改地区代码绕过
双写手机号
图形验证码
图形验证码爆破
图形验证码枚举
图形验证码复用
图形验证码为空
万能图形验证码
后台功能
个人中心
越权查询他们信息
个人信息入库未转义
图片上传拒绝服务
SQL注入
账号密码泄露
弱口令
共用账号
文件上传
后台功能
用户信息批量泄露
替自己账号发券发补偿
批量发表文章
越权删除别人的文章
发表文章时内容无转义
文章评论时无验证码，可批量发表评论
文章评论时内容无转义
支付漏洞
订单、购物车、提现、转账、退款、支付
订单金额任意修改
负数购买
越权支付
修改运费价格
优惠券修改
四舍五入支付漏洞
整数溢出
低价签约
低价会员升级
无限优惠券
权限漏洞
越权
水平越权
修改基础参数越权
阶段验证越权
链接隐藏越权
多用户替换越权
增删改越权
垂直越权
修改基础参数越权
阶段验证越权
链接隐藏越权
多用户替换越权
增删改越权
JWT
令牌未签名
密钥爆破
令牌刷新
越权
未授权
redis未授权
elasticsearch未授权
memcache未授权
mongodb未授权
HADOOP未授权
docker未授权
rundeck未授权
spring boot未授权
Solr未授权访问
JS泄露信息
子域名泄露
IP地址泄露
手机号泄露
身份证号泄露
账号密码泄露
API泄露
未授权链接泄露
accesskey泄露
JS插件泄露
邮箱泄露
JS逆向加密参数
其他通用漏洞
SSRF
CSRF
XSS
url重定向
SQL注入
0 条评论
下一页
