如何攻击我自己的网站？答案

【问题标题】：How to attack my own website?如何攻击我自己的网站？
【发布时间】：2013-10-28 04:00:04
【问题描述】：

我目前正在为一个包含 2 个页面的网站 (JSP) 的安全性工作：登录页面和数据页面。一旦用户登录，他就可以从具有只读访问权限的特定表中选择数据。

在线浏览安全风险后，我写下了我可能需要防范的一般清单

目前，我正在阅读有关如何防御这些攻击以及我应该在代码中包含哪些内容的信息。但是，除非我自己测试这些攻击，否则我不会真正知道我的代码是否真的有效（即使那样，仍然可能有其他有效的攻击）。现在，我只想要一些安全性，因此我需要知道如何产生这些攻击，以便我可以在我的网站上尝试它们。

注入很简单，因为我只需在代码中执行 type '1'='1 即可发现它存在缺陷。然后我使用了准备好的语句，SQL 注入不再起作用了。

我怎样才能产生这些攻击的其余部分，以查看我的安全是否至少可以抵抗基本攻击？

（另外，是否有一些安全的网站或工具可以用来测试我的漏洞？）

【问题讨论】：

根本不是专家......也许看看这个？ code.google.com/p/websecurify我很好奇。
Websecurify 不会做任何事情，只是告诉您没有启用 HTTPOnly，您启用了自动更正，并且您的横幅会告诉您服务器类型/版本。它不会让您知道您是否容易受到攻击。我在没有安全性的情况下在我的网站上测试了该应用程序，而 websecurify 甚至没有测试诸如注入之类的简单内容。这是免费版本，来自上面的链接。也许如果我支付 100 美元，它可能会检测到实际的漏洞。

【解决方案1】：

我从您的列表中假设您正在查看Open Web Application Security Project Top Ten。好！

真的，我能给出的最好建议是通读 OWASP 网站。一个好的第一步是浏览该页面上的各个链接（例如Broken Authentication and Session Management）并检查“我是否容易受到攻击？”部分。以下是一些进一步的提示：

The XSS Cheat Sheet 在这里会很有帮助。比您动摇的示例更多，准备粘贴到您的网站中。

OWASP 的 wiki 有一个 CSRF Testing Guide，里面有很多很棒的链接和建议。

那么，您使用的是 HTTPS 吗？请参阅this answer 了解更多信息。