51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步,快速开始

测试开发精英班,通向高级软件测试工程师【周活动】 找茬--心里圈的故事 !【长期招募】博为峰网校招聘兼职讲师!横扫BAT,Python全栈测试开发技能大全
【107期】:快速构建python web 全栈开发的开发思维【征稿】提交你的测试成绩单! 【专题】用尽一切办法只为让你学好用例 自学软件测试那点事
查看: 617|回复: 0

安全测试总结

[复制链接]

该用户从未签到

发表于 2019-4-16 11:58:46 | 显示全部楼层 |阅读模式
操作系统安全&数据库加固

secureCAT。同时扫描数据库和操作系统测试报告比较清晰,还告诉了如何去手动校验
ngs 扫描数据库
nessus 扫描数据库
代码扫描

工具

fortify。侧重代码质量
coverity。侧重代码安全
手动搜索

日志不能打印敏感数据,可以全局正则搜索user,token,pwd。最好和开发人员访谈确认关键词
隐私保护

LBS 安全大师
根据《产品隐私权限列表》进行测试,每次使用个人数据时是否有授权提示框
apk 安全

intent fuzzer 工具
根据AndroidMainifest.xml中的权限设置,是否有多于权限
其他AndroidMainifest.xml的默认设置,allowbackup,debug,私有activity的设置等
rf explorer 管理器查看应用包里的属性,other的权限应该是--。以及存储日志的关键字搜索等
抓包修改apk客户端的字段,fiddler
反编译。apktool+dex2jar+jd-gui 查看代码,搜索一些敏感关键字,无明文硬码密码,
ddms检查日志是否打印敏感信息
apk病毒

.McAfee Mobile Security
第三方类库扫描

CVE
CVSS评分标准: 漏洞的最终得分最大为10,最小为0。得分7~10的漏洞通常被认为比较严重,得分在4~6.9之间的是中级漏洞,0~3.9的则是低级漏洞。
blackduck
cvechecker
口令安全

加密验证。走读代码
其他。如每次的加密都是唯一的,不得使用Random函数作为秘钥,不得使用有规则的随机种子
证书安全

替换证书
证书到期
删除证书
web安全

sql注入
AppCan
手动注入url,输入注入符号,如','',<!-- >,&
抓包改cookie
手动执行。如,没权限的角色访问高级权限的url
抓包绕过验证码。服务器必须对验证码验证
跨目录访问测试。抓包下载文件修改url,如http://www.test/downlad/getPdf,http://www.test/downlad/getPdf/....etc/pwd等改
其他

端口扫描 Nmap
协议栈健壮性测试工具 Codenomicon
模糊测试 Peach fuzz
服务器日志检查。如是否打印敏感信息,Windows自带的防火墙日志,IIS日志,其他容器日志的检查和设置
回复

使用道具 举报

本版积分规则

关闭

站长推荐上一条 /2 下一条

小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 关于我们

GMT+8, 2019-10-24 00:20 , Processed in 0.058899 second(s), 24 queries .

Powered by Discuz! X3.2

© 2001-2019 Comsenz Inc.

快速回复 返回顶部 返回列表