OWASP ZAP
WVS
Appscan
BurpSuite
sqlmap
敏感信息传递加密
链路加密
访问控制
注入: sql注入、命令注入、文件注入
越权:越过更高的权限,越过同级权限
http是否传输敏感信息
tcp等协议是否可被破解
api清单手机:明确敏感信息分级、可访问性验证
api参数收集:明确参数分类并针对分析
token可遍历
文件上传
身份参数的有效验证
(1)白盒代码分析:自动化
sonar、findbugs
(2)黑盒扫描机制:自动化
zap、wvs、burpsuite、appsan、sqlmap
(3)业务流程安全探索:人工检测
burpsuite、zap
原文:https://www.cnblogs.com/crystal1126/p/15184670.html