51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步,快速开始

微信登录,快人一步

手机号码,快捷登录

查看: 14609|回复: 31
打印 上一主题 下一主题

软件评测师中关于安全性测试(手打版)

[复制链接]

该用户从未签到

跳转到指定楼层
1#
发表于 2007-9-17 11:34:54 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
WEB安全性测试
一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密。参数操作、异常管理、审核和日志记录等几个方面入手。
1.        安全体系测试
1)        部署与基础结构
l        网络是否提供了安全的通信
l        部署拓扑结构是否包括内部的防火墙
l        部署拓扑结构中是否包括远程应用程序服务器
l        基础结构安全性需求的限制是什么
l        目标环境支持怎样的信任级别
2)        输入验证
l        如何验证输入
A.        是否清楚入口点
B.        是否清楚信任边界
C.        是否验证Web页输入
D.        是否对传递到组件或Web服务的参数进行验证
E.        是否验证从数据库中检索的数据
F.        是否将方法集中起来
G.        是否依赖客户端的验证
l        如何处理输入
3)        身份验证
l        是否区分公共访问和受限访问
l        是否明确服务帐户要求
l        如何验证调用者身份
l        如何验证数据库的身份
l        是否强制试用帐户管理措施
4)        授权
l        如何向最终用户授权
l        如何在数据库中授权应用程序
l        如何将访问限定于系统级资源
5)        配置管理
l        是否支持远程管理
l        是否保证配置存储的安全
l        是否隔离管理员特权
6)        敏感数据
l        是否存储机密信息
l        如何存储敏感数据
l        是否在网络中传递敏感数据
l        是否记录敏感数据
7)        会话管理
l        如何交换会话标识符
l        是否限制会话生存期
l        如何确保会话存储状态的安全
8)        加密
l        为何使用特定的算法
l        如何确保加密密钥的安全性
9)        参数操作
l        是否验证所有的输入参数
l        是否在参数过程中传递敏感数据
l        是否为了安全问题而使用HTTP头数据
10)        异常管理
l        是否使用结构化的异常处理
l        是否向客户端公开了太多的信息
11)        审核和日志记录
l        是否明确了要审核的活动
l        是否考虑如何流动原始调用这身份
2.        应用及传输安全
WEB应用系统的安全性从使用角度可以分为应用级的安全与传输级的安全,安全性测试也可以从这两方面入手。
应用级的安全测试的主要目的是查找Web系统自身程序设计中存在的安全隐患,主要测试区域如下。
l        注册与登陆:现在的Web应用系统基本采用先注册,后登录的方式。
A.        必须测试有效和无效的用户名和密码
B.        要注意是否存在大小写敏感,
C.        可以尝试多少次的限制
D.        是否可以不登录而直接浏览某个页面等。
l        在线超时:Web应用系统是否有超时的限制,也就是说,用户登陆一定时间内(例如15分钟)没有点击任何页面,是否需要重新登陆才能正常使用。
l        操作留痕:为了保证Web应用系统的安全性,日志文件是至关重要的。需要测试相关信息是否写进入了日志文件,是否可追踪。
l        备份与恢复:为了防范系统的意外崩溃造成的数据丢失,备份与恢复手段是一个Web系统的必备功能。备份与恢复根据Web系统对安全性的要求可以采用多种手段,如数据库增量备份、数据库完全备份、系统完全备份等。出于更高的安全性要求,某些实时系统经常会采用双机热备或多级热备。除了对于这些备份与恢复方式进行验证测试以外,还要评估这种备份与恢复方式是否满足Web系统的安全性需求。
传输级的安全测试是考虑到Web系统的传输的特殊性,重点测试数据经客户端传送到服务器端可能存在的安全漏洞,以及服务器防范非法访问的能力。一般测试项目包括以下几个方面。
l        HTTPS和SSL测试:默认的情况下,安全HTTP(Soure HTTP)通过安全套接字SSL(Source Socket Layer)协议在端口443上使用普通的HTTP。HTTPS使用的公共密钥的加密长度决定的HTTPS的安全级别,但从某种意义上来说,安全性的保证是以损失性能为代价的。除了还要测试加密是否正确,检查信息的完整性和确认HTTPS的安全级别外,还要注意在此安全级别下,其性能是否达到要求。
l        服务器端的脚本漏洞检查:存在于服务器端的脚本常常构成安全漏洞,这些漏洞又往往被黑客利用。所以,还要测试没有经过授权,就不能在服务器端放置和编辑脚本的问题。
l        防火墙测试:防火墙是一种主要用于防护非法访问的路由器,在Web系统中是很常用的一种安全系统。防火墙测试是一个很大很专业的课题。这里所涉及的只是对防火墙功能、设置进行测试,以判断本Web系统的安全需求。
分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
收藏收藏1
回复

使用道具 举报

该用户从未签到

32#
发表于 2014-8-14 20:53:54 | 只看该作者
谢谢了,能大概了解下网络安全测试的东西。、
回复 支持 反对

使用道具 举报

该用户从未签到

31#
发表于 2014-6-3 16:31:44 | 只看该作者
谢谢,您的资料!
回复 支持 反对

使用道具 举报

  • TA的每日心情
    奋斗
    2019-12-31 08:59
  • 签到天数: 975 天

    连续签到: 1 天

    [LV.10]测试总司令

    30#
    发表于 2014-5-15 08:55:44 | 只看该作者
    顶起
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    29#
    发表于 2014-1-21 10:15:49 | 只看该作者
    总结的还不错
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    28#
    发表于 2012-6-12 09:17:45 | 只看该作者
    thanks
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    27#
    发表于 2012-6-6 14:56:17 | 只看该作者
    谢谢
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    26#
    发表于 2011-4-4 12:57:24 | 只看该作者
    虽然还没入门~不过还是想看下安全测试的知识
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    25#
    发表于 2011-3-25 14:34:00 | 只看该作者
    谢谢楼主!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    郁闷
    2016-6-2 16:41
  • 签到天数: 1 天

    连续签到: 1 天

    [LV.1]测试小兵

    24#
    发表于 2010-3-8 15:07:11 | 只看该作者
    辛苦了,楼主,谢谢
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    23#
    发表于 2010-2-26 10:10:21 | 只看该作者
    谢谢楼主
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    22#
    发表于 2009-10-23 16:20:44 | 只看该作者
    先回复,再慢慢学习研究
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2016-9-14 10:57
  • 签到天数: 1 天

    连续签到: 1 天

    [LV.1]测试小兵

    21#
    发表于 2009-10-22 18:11:21 | 只看该作者
    楼主是个有心人啊。
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    20#
    发表于 2008-8-4 15:32:32 | 只看该作者
    如果能在具体一些就好了,内容太泛泛了
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    19#
    发表于 2008-7-18 18:00:50 | 只看该作者
    太感谢了!!!!!
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    18#
    发表于 2008-7-17 21:26:12 | 只看该作者
    thx
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    17#
    发表于 2008-6-28 18:02:25 | 只看该作者
    thanks a lot
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    16#
    发表于 2008-6-19 16:29:34 | 只看该作者
    我现在也要WEB测试,谢谢了
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    15#
    发表于 2008-6-9 11:23:58 | 只看该作者
    谢谢
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    14#
    发表于 2008-4-14 15:16:07 | 只看该作者
    感谢楼主
    回复 支持 反对

    使用道具 举报

    本版积分规则

    关闭

    站长推荐上一条 /1 下一条

    小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 关于我们

    GMT+8, 2024-11-26 09:33 , Processed in 0.080040 second(s), 29 queries .

    Powered by Discuz! X3.2

    © 2001-2024 Comsenz Inc.

    快速回复 返回顶部 返回列表