多线程如何避免死锁 web安全性测试用例(15)

解决问题的一种方法是将obj.conf参数RqThrottle的值设置为线程数目之下的某个数值，这样如果越过RqThrottle的值，就不会接收新的连接。那些不能连接的服务器将会停止工作，而连接上的服务器的响应速度则会变慢，但至少已连接的服务器不会被挂起。这时，文件描述符至少应当被设置为与线程的数目相同的数值，否则，文件描述符将成为一个瓶颈。

中的临时表不够用

许多的临时表（cursor）数目都是固定的，临时表即保留查询结果的内存区域。在临时表中的数据都被读取后，临时表便会被释放，但大量同时进行的查询可能耗尽数目固定的所有临时表。这时，其他的查询就需要列队等候，直到有临时表被释放时才能再继续运行。

这是一个不容易被程序员发觉的问题，但会在负载测试时显露出来。但可能对于管理员（DataBaseAdministrator，DBA）来说，这个问题十分明显。

此外，还存在一些其他问题：设置的表空间不够用、序号限制太低，这些都会导致表溢出错误。这些问题表明了一个好的DBA对用于生产的设置和性能进行定期检查的重要性。而且，大多数厂商也提供了监控和建模工具以帮助解决这些问题。

另外，还有许多因素也极有可能导致Web站点无法工作。如：相关性、子网流量超载、糟糕的设备驱动程序、硬件故障、包括错误文件的通配符、无意间锁住了关键的表。

如何做好网站的安全性测试

安全性保护数据以防止不合法用户故意造成的破坏；

完整性保护数据以防止合法用户无意中造成的破坏；

安全性测试（security testing）是有关验证应用程序的安全服务和识别潜在安全性缺陷的过程。

注意：安全性测试并不最终证明应用程序是安全的，而是用于验证所设立策略的有效性，这些对策是基于威胁分析阶段所做的假设而选择的。

一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密。参数操作、异常管理、审核和日志记录等几个方面入手。

1.安全体系测试

1)部署与基础结构

网络是否提供了安全的通信

部署拓扑结构是否包括内部的防火墙

部署拓扑结构中是否包括远程应用程序服务器

基础结构安全性需求的限制是什么

目标环境支持怎样的信任级别

2)输入验证

l如何验证输入

A.是否清楚入口点

B.是否清楚信任边界

C.是否验证Web页输入

D.是否对传递到组件或Web服务的参数进行验证

E.是否验证从中检索的数据

F.是否将方法集中起来

G.是否依赖客户端的验证

H.应用程序是否易受SQL注入攻击

I.应用程序是否易受XSS攻击

l如何处理输入

3)身份验证

是否区分公共访问和受限访问

是否明确服务帐户要求

如何验证调用者身份

如何验证的身份

是否强制试用帐户管理措施

4)授权

如何向最终用户授权

如何在中授权应用程序

如何将访问限定于系统级资源

5)配置管理

是否支持远程管理

是否保证配置存储的安全

是否隔离管理员特权

6)敏感数据

是否存储机密信息

如何存储敏感数据

是否在网络中传递敏感数据

是否记录敏感数据

7)会话管理

如何交换会话标识符

是否限制会话生存期

如何确保会话存储状态的安全

8)加密

为何使用特定的算法

如何确保加密密钥的安全性

9)参数操作

是否验证所有的输入参数

是否在参数过程中传递敏感数据

是否为了安全问题而使用HTTP头数据

10)异常管理

是否使用结构化的异常处理

是否向客户端公开了太多的信息

11)审核和日志记录

是否明确了要审核的活动

是否考虑如何流动原始调用这身份

2.应用及传输安全

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-67715-15.html