用户认证安全性测试

用户认证安全性测试

认证与会话管理

认证--Authentication

认证实际上就是一个验证凭证的过程

目的是为了认出用户是谁

01 常见认证方式

02 session认证

  • SessionID一旦在生命周期内被窃取,就等于账户失窃
  • Session劫持就是一种通过窃取用SessionID后,使用该SessionID登录进目标账户的攻击方法
Session Fixation攻击
Session保持攻击

03 Token认证

多因素认证

因此为了增强安全性,大多数网上银行和网上支付平台都会采用双因素或多因素认证

session和token区别
  • session

Session(会话):

1.会话是在客户端和服务器之间建立的持续通信连接,用于跟踪用户在应用程序或网站上的活动状态。

2.会话通常由服务器创建,并与特定用户相关联。一旦建立,服务器会为用户分配一个唯一的会话标识符(通常是会话 ID),识别用户的请求。

3.会话通常在用户登录时创建,并在用户退出登录或超时一段时间后销毁。它可以存储用户的临时数据,在用户与服务器之间的多个请求之间共享。

  • token

1.令牌是一个用于身份验证和授权的凭证,通常由服务器颁发给客户端

2.令牌可以是持久的(长期有效)或短暂的(一次性)。

3.在身份验证方面,令牌通常是通过用户名和密码进行身份验证后,由服务器签发给客户端的。客户端在将来的请求中可以使用令牌来证明其身份,而无需再次提供用户名和密码。

4.在授权方面,令牌可以包含授权信息,`允许客户端访问特定资源或执行特定操作。

04 暴力破解

密码的那些事

密码是最常见的认证手段,持有正确密码的人被认为是可信的

密码的优点是使用成本低,认证过程实现起来很简单

缺点是密码认证是一种比较弱的安全方案,可能会被猜解

"密码强度"是设计密码认证方案时第一个需要考虑的问题

密码设置推荐策略
  • 密码长度方面

普通应用要求长度为6位以上

重要应用要求长度为8位以上,并考虑双因素认证

  • 密码复杂度方面

密码区分大小写字母

密码为大写字母、小写字母、数字、特殊符号中两种以上的组合

不要有连续性的字符,比如:1234abcd

尽量避免出现重复的字符,比如:1111

  • 其他

不要使用用户公开的数据或者个人隐私相关的数据作为密码

会话--Authorization

授权是授予用户可以操作的权限

目的是为了决定用户能够做什么

权限控制

权限管理方式

垂直权限管理

1.使用"最小权限原则"

2.使用"默认拒绝"的策略

3.只对有需要的主体单独配置"允许"的策略

水平权限管理

1.水平权限管理问题,至今仍然是一个难题

2.它难以发现,难以在统一框架下解决

3.很难通过扫描等自动化测试方法将这些问题全部找出

相关推荐
毕设源码-赖学姐2 小时前
【开题答辩全过程】以 基于Android的校园快递互助APP为例,包含答辩的问题和答案
java·eclipse
damo012 小时前
stripe 支付对接
java·stripe
介一安全2 小时前
【Frida Android】基础篇9:Java层Hook基础——Hook构造函数
android·网络安全·逆向·安全性测试·frida
介一安全2 小时前
【Frida Android】基础篇10:Native层Hook基础--普通 Hook
android·网络安全·逆向·安全性测试·frida
麦麦鸡腿堡3 小时前
Java的单例设计模式-饿汉式
java·开发语言·设计模式
假客套3 小时前
Request method ‘POST‘ not supported,问题分析和解决
java
傻童:CPU3 小时前
C语言需要掌握的基础知识点之前缀和
java·c语言·算法
爱吃山竹的大肚肚3 小时前
@Valid校验 -(Spring 默认不支持直接校验 List<@Valid Entity>,需用包装类或手动校验。)
java·开发语言
Black蜡笔小新4 小时前
视频汇聚平台EasyCVR级联播放偶发失败排查:TCP主动模式下的3秒超时响应差
网络·tcp/ip·音视频
雨夜之寂4 小时前
mcp java实战 第一章-第一节-MCP协议简介.md
java·后端