測試安全的登錄和通過SSL註冊

Question

我已經實施了安全登錄和註冊在我的網站。它的工作。現在我想測試它。我不知道如何測試它是否正確安全。

Answer 1

如果你想測試它是否打破了SSL使用時，你可以輕鬆地測試通過下載和安裝OpenSSL駕駛它，按照此tutorial到您的網絡上創建與OpenSSL的，install新創建的證書自簽名證書服務器（Apache，如果你使用的是LAMP或XAMPP），最後重啓你的web服務器。現在您已經準備好使用SSL了，請嘗試通過https：//使用您的登錄表單並查看會發生什麼情況。如果像Firefox這樣的瀏覽器抱怨你的證書，請告訴它創建一個例外。

這就是你如何通過SSL進行測試，但對於「是否正確安全」，事情變得更加困難。請確保你至少有照顧：

• 會話固定
• 跨站點腳本
• 安全的密碼存儲（哈希）
• SQL注入
• 抵禦野蠻與節流或使用強制驗證碼

Answer 2

這取決於網站是由什麼組成的，例如，如果它使用的是Apache或者它是本土服務器。

• 驗證網站只能通過HTTPS訪問（如果這是被通緝）
• 測試通過HTTP訪問 - 驗證行爲是按預期（可能是重定向到HTTPS，錯誤頁面或警告消息.. 。）
• 嘗試不（要通的登錄頁面即鍛造URL）
• 打開會話訪問該網站，嘗試從另一個客戶端訪問無需登錄。
• 試驗「明顯」的口令（測試/ test，admin/admin）
• 驗證你不能沒有空的用戶名登錄/密碼
• 驗證一個無法訪問系統的私鑰
• 驗證一個無法訪問系統中的所有文件（如http://website.address/../../../../etc/passwd）
• ...

您也可以使用網站安全測試套件，參見insecure.org的this list，有商業產品和免費/開源工具。

恕我直言，你不應該嘗試測試SSL，因爲這是第三方工具。