安全测试用例:检查是否存在不安全的HTTP方法

1、用例描述:检查是否存在不安全的HTTP方法

2、前提条件:Web服务器运行正常

3、测试步骤:

手工构造HTTP报文测试:

a.点击"开始"-"运行",输入cmd并回车,运行cmd.exe

b.输入telnet IP 端口 (其中IP和端口按实际情况填写,用空格隔开,比如:telnet 111.111.111.111 8080)

c.回车

d.在新行中输入如下一行,并回车

OPTIONS / HTTP/1.0

e.检查返回结果中的Allow的方法不包含不安全的方法

返回结果样例:

HTTP/1.1 200 OK

Server: Apache-Coyote/1.1

X-Powered-By: Servlet 2.4; nginx-4.0.5.GA (build: CVSTag=Branch_4_0 date=200231231231)/Tomcat-5.5

Allow: GET, HEAD, POST, PUT, DELETE, TRACE, OPTIONS

Content-Length: 0

Date: Mon, 29 Jun 2032 01:12:17 GMT

Connection: close

备注:

手工测试仅以构造OPTIONS方法为例,如果OPTIONS方法被服务器禁止,请手工构造DELETE、PUT、TRACE、MOVE、COPY等不安全方法报文。

4、预期结果:

不包含不安全的HTTP方法(如DELETE、PUT、TRACE、MOVE、COPY)

相关推荐
数据知道11 小时前
移动端渗透测试流程:Android APK 逆向与动态调试
android·web安全·网络安全
数字护盾(和中)16 小时前
和中科技剖析 EDR 绕过全链路,AMSI、ETW 规避技术与防御对策
运维·网络·人工智能·科技·安全·web安全
网安蟹佬霸21 小时前
Android安全攻防实战:从APK逆向到Frida动态Hook全流程详解(附脚本)
android·前端·安全·web安全·逆向·csrf·网安
Sagittarius_A*1 天前
Burst Lab | PHP 审计 13|反序列化(三):POP 链构造与 Gadget Chain 分析
开发语言·web安全·php·代码审计·反序列化
芯盾时代2 天前
《金融业网络安全管理办法(征求意见稿)》全条款深度拆解(一)
网络·安全·web安全
网安蟹佬霸2 天前
蓝队防御实战:SIEM与SOAR构建安全运营中心(万字详解+实战配置)
android·安全·web安全·网络安全·网安
Luminbox紫创测控2 天前
汽车前照灯阳光灼烧:光学热仿真与太阳光模拟器验证
人工智能·测试工具·汽车·安全性测试·测试标准
好果不榨汁2 天前
网络安全攻防实战:基于 Ubuntu 的攻击机与防守机搭建与演练
安全·web安全·ubuntu
佳&弥2 天前
数据库提权
服务器·数据库·安全·web安全·网络安全
其实防守也摸鱼2 天前
如何使用自动化教育SRC漏洞挖掘系统--AutoHunter
运维·网络·人工智能·学习·安全·web安全·自动化