ASP.NET MVC中的漏洞测试

Question

我使用NMock单元测试参与了ASP.NET MVC和ASP.NET WebAPI的基于测试的开发,但是我编写的大多数单元测试都围绕着测试功能.

从单元测试的角度来看:

是否有任何框架来测试访问点的漏洞控制器(或任何其他组件)上的操作

从自动/手动QA测试的角度来看

是否有任何(更喜欢开源)工具来测试基于ASP.NET MVC,手动或自动构建的网站的漏洞,可用于质量保证？

Answer 1

我将按照与测试在任何其他平台上构建的任何其他 Web 应用程序相同的方式来测试您的 ASP.NET MVC 应用程序。

本质上，您的攻击媒介是托管应用程序的网页和服务器。从攻击者的角度考虑一下。他们无法查看控制器和模型中的代码，但他们可以执行以下操作。

• 扫描您的服务器是否存在可能包含漏洞的操作系统版本、Web 服务器版本、数据库版本。
• 扫描您的网页是否存在易受攻击的 JavaScript、输入表单、查询字符串参数等。
• 尝试通过任何发现的漏洞来利用您的 Web 应用程序

您可以使用任意数量的应用程序来测试您的网站是否存在 xss、csrf、sql 注入等。 OWASP 是一个不错的起点 https://www.owasp.org/index.php/Main_Page 熟悉排名前 10 的 https： //www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

另请查看有关开源 Web 漏洞扫描程序的 SO 帖子 /sf/ask/209660041/

请记住，两个主要的攻击媒介是用户输入和服务器配置。

我还建议您查看 NMap 和 MetaSploit。Nmap 可用于查找服务器上的开放端口，MetaSploit 是一个用于利用漏洞的框架。