1、不登录系统，直接输入登陆后的页面URL是否可以访问；
2、不登录系统，直接输入下载文件的URL是否可以下载文件，如http://url/download?name=file;
3、退出登录后，后退按钮是否能访问之前的页面；
4、ID/密码验证中，是否密码简单（6为以上，字母和数字的组合，不包含ID，连接的字母或数字不能超过n位）；
5、ID/密码验证中，同一个账号在不同机器上登录，系统提示；
6、ID/密码验证中，连续多次输入错误该账号是否被锁定；
7、重要信息（密码、身份证、信用卡号等）在输入时是否明文显示；在浏览器中输入命令javaScript:alert(document.cookie)时是否有重要信息；html源码中能否看到重要信息；
8、手动更改URL中的参数能否访问没有权限的页面；
9、URL里不可修改的参数是否可以被修改；
10、上传与服务器端语言（jsp，asp，php）一样扩展名的文件或者exe等可执行文件，确认在服务器端是否可直接运行；
11、注册用户是否可以以‘--’or1=1---等作为用户名；
12、传送给服务器的参数（如查询关键字、URL中的参数）中包含特殊字符（‘.’and1＝1--.‘and1＝0--.’.‘or 1＝0--）时是否可以正常处理；
13、执行新增操作时，在所有的输入框中输入脚本标签（<script>alert("")</script>）后能否保存成功；
14、新增或修改重要信息（密码、身份证号、银行卡号）时是否有自动完成功能（在form标签中使用autocomplete＝0 来关闭自动完成功能）；
15、在URL中输入下面的地址是否可以下载：
http://url/download.jsp?file=c:windowssystem32driversetchosts
http://url/download.jsp?file=/etc/password
16、是否对session的有效期进行处理；
17、错误信息中是否含有SQL语句，SQL错误信息以及web服务器的绝对路径等；
转自 http://blog.csdn.net/quiet_girl/article/details/50561453