Web安全测试

1.登录用户名需要限制输入大小写。

2.登录密码要隐文显示。

3.密码不支持复制粘贴。

4.登录密码在数据库中不能明文显示。

5.登录失败需要限制登录次数（暴力破解）。

6.登录需要添加唯一识别标志(避免CSRF 攻击）。

7.登录用户名和密码不允许进行XSS攻击(,显示文本框)。

8.登录用户名和密码输入框不允许进行SQL注入 or 1=1。

9.登录成功过cookie中是否保存用户名密码需要进行加密。

10.输入任意权限的url链接，可以绕过登录界面(访问控制)。

11.登录成功，进行浏览器后退操作，在进行浏览器前进操作，未跳转到登录页面。

12.Session的失效时间未进行限制。

13.修改上传文件的后缀名为.php格式文件。

14.修改上传文件的Content-Type类型。

15.修改上传文件为截断上传的格式hack.asp%00.jpg文件。

16.修改上传文件格式为/a.asp/xxxxx.jpg文件。

17.验证对文件扩展名的处理方式以使得.exe文件不能上传到服务器或在服务器上执行。

18.输入特殊字符数据，校验系统是否报错。

19.异常数据显示代码（信息泄露）。

20.任意文件下载（修改文件下载链接，更改下载链接的参数，进行下载操作）。

21.修改密码操作，修改的密码需要进行加密处理。

22.验证码明文传输人，验证码后台未校验。

23.验证码重复发送多次10/20/50次，验证码发送次数无限制。

24.登陆–〉退出–〉再次登陆(使用同一个账号) 查看set-cookie信息未更新。

25.水平越权验证，将有权限的用户id修改无权限的用户id（权限控制）。