【你来问我来答第42期】：揭开web安全测试的神秘面纱(已结束)

jacksonren1987

回复 21# maliya1314


这个问题详见下33楼。我强调下，安全测试架构不是指一个自动化测试框架，测试架构的范围会更广，而测试架构师要做的也不仅仅是搭建测试框架。

jacksonren1987

回复 22# 测试缘


1. 安全测试核心其实在解析分析和策略建立上，针对于不同的被测项目，需要建立不同的安全策略；即便是同一个项目中不同模块，也要进行不同的策略。这算是安全测试最需要考虑的地方
2. 安全测试，咱们刚才提到的都算是先验测试，在测试工作中，先验测试固然很重要，但是另一方面来说，对服务器的监控，日志的阅读，甚至是蜜罐的使用，才是保证一个项目一个系统尽可能少的受到攻击的关键。

jacksonren1987

回复 23# dennyqiang


首先来说 服务器和防火墙，哪怕是web安全防火墙一类的安全附加工具，从实质上来说都是基于恶意攻击的屏蔽措施，也就是拒绝接受某些恶意攻击。实际上来讲，对于代码安全是没有任何作用的。所谓魔高一尺，道高一丈吧，在安全测试领域，追求的是高质量的代码+高效的安全附加措施，这恐怕才是未来安全的发展方向。

jacksonren1987

回复 24# 测试你


请参考一下26楼关于类似问题的回复~~谢谢~

xqtesting

落哥，顶起来，哇哈哈，大家有问题就赶紧提，不要错过哦

这里还有安全测试自学手册哦

jacksonren1987

回复 45# xqtesting


哈哈，谢谢小强老师~~

shujin6040

怎么去手工测试！举个例子

shujin6040

安全测试怎么进行手工测试！举个例子

fsweicaixia

你这问题问的  那就问上级领导呗

栋婷的春天

你好，我是刚入门的小测试员，很想知道安全测试的一些知道。我们公司主要做app和web的测试，这两个方面的安全测试要注意哪些点，有什么不同。能否具体讲一下你平时是怎么进行安全测试的，用的是什么工具。谢谢。

liurenhui

MTM 为什么的邮箱设置Accounting  Setting不能点击呢？邮箱不能发送呢，需要配置什么吗？

VIP有风吹过

围观

spring139

作为测试人员，在工作中应该保持怎样的心态？谢谢

kuangli1020

安全测试该如何入门

meqili

selenium工具从哪里开始学起？

cjwgreat

安全意识如何培养

ffwithvv

sql注入 有什么工具可以推荐吗？谢谢

weiqiangz2002

回复 1# lsekfe


    榜样啊

weilian0818

应届毕业生如何开展并走好软件测试之路？

jacksonren1987

回复 48# shujin6040


在我的理解里，安全测试可能更多反而需要的是用手工去进行一些验证，大多数时候这些工作往往是自动化所不能解决的。
怎么进行呢？首先是你需要对安全漏洞的原理有一定的了解，在了解的基础上根据其漏洞产生原因和现象做有根据性的手工测试。
我举个简单的例子吧，例如我们要测试一个购物车是否有绕过客户端的漏洞，那么我们首先要抓取关键请求，一般是“下一步”或者“支付”。接下来手动拦截到这个请求后，查看是否具有关键信息或隐私信息，如果有，进行修改，查看该请求是否能被服务器所接收；如果没有，则进行简单的解码工作；如果仍未发现隐私信息，则抓取其他购物车同类请求比较，查看变化规律，做出预测请求判断或替换请求参数等操作。