9

私は NMock 単体テストを使用して ASP.NET MVC および ASP.NET WebAPI でのテスト ベースの開発に携わってきましたが、私が作成するほとんどの単体テストは機能のテストを中心に展開しています。

単体テストの観点から：

アクセス ポイントの脆弱性をテストするためのフレームワークはありますか コントローラ（またはその他のコンポーネント）でのアクション

自動/手動 QA テストの観点から

ASP.NET MVC 上に構築された Web サイトの脆弱性を手動または自動でテストするための(オープン ソースを優先する)ツールはありますか?

4

2 に答える 2

4

他のプラットフォームで構築された他の Web アプリケーションをテストする場合と同じ方法で、ASP.NET MVC アプリケーションをテストします。

基本的に、攻撃ベクトルは、アプリケーションをホストしている Web ページとサーバーです。攻撃者の観点から考えてみてください。コントローラーとモデルのコードを見る方法はありませんが、次のことはできます。

  • サーバーをスキャンして、脆弱性を含む可能性のある OS バージョン、Web サーバー バージョン、DB バージョンを確認します。
  • Web ページをスキャンして、脆弱な JavaScript、入力フォーム、クエリ文字列パラメーターなどを探します。
  • 発見された脆弱性を介して Web アプリケーションを悪用しようとする

xss、csrf、sql インジェクションなどについてサイトをテストするために、任意の数のアプリケーションを使用できます。開始するのに適した場所は、OWASP https://www.owasp.org/index.php/Main_Pageです。 上位 10 の https: //www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

オープンソースの Web 脆弱性スキャナーに関するこの SO 投稿もチェックして ください https://stackoverflow.com/questions/2995143/open-source-web-site-vulnerability-scanners

2 つの主な攻撃ベクトルは、ユーザー入力とサーバー構成であることを覚えておいてください。

NMap と MetaSploit も参照することをお勧めします。Nmap はサーバーで開いているポートを見つけるために使用でき、MetaSploit は脆弱性を悪用するためのフレームワークです。

于 2013-05-13T02:43:13.110 に答える
2

ModelBinding は、通常、大規模な脆弱性を生み出すため、注目すべき最大の領域の 1 つです。

たとえば、この質問を見て、脆弱性を見つけられるかどうかを確認してください。

于 2013-07-18T13:36:28.587 に答える