51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步,快速开始

微信登录,快人一步

手机号码,快捷登录

查看: 2354|回复: 0
打印 上一主题 下一主题

安全测试总结

[复制链接]
  • TA的每日心情
    无聊
    2024-7-12 13:16
  • 签到天数: 1 天

    连续签到: 1 天

    [LV.1]测试小兵

    跳转到指定楼层
    1#
    发表于 2019-4-16 11:58:46 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
    操作系统安全&数据库加固

    secureCAT。同时扫描数据库和操作系统测试报告比较清晰,还告诉了如何去手动校验
    ngs 扫描数据库
    nessus 扫描数据库
    代码扫描

    工具

    fortify。侧重代码质量
    coverity。侧重代码安全
    手动搜索

    日志不能打印敏感数据,可以全局正则搜索user,token,pwd。最好和开发人员访谈确认关键词
    隐私保护

    LBS 安全大师
    根据《产品隐私权限列表》进行测试,每次使用个人数据时是否有授权提示框
    apk 安全

    intent fuzzer 工具
    根据AndroidMainifest.xml中的权限设置,是否有多于权限
    其他AndroidMainifest.xml的默认设置,allowbackup,debug,私有activity的设置等
    rf explorer 管理器查看应用包里的属性,other的权限应该是--。以及存储日志的关键字搜索等
    抓包修改apk客户端的字段,fiddler
    反编译。apktool+dex2jar+jd-gui 查看代码,搜索一些敏感关键字,无明文硬码密码,
    ddms检查日志是否打印敏感信息
    apk病毒

    .McAfee Mobile Security
    第三方类库扫描

    CVE
    CVSS评分标准: 漏洞的最终得分最大为10,最小为0。得分7~10的漏洞通常被认为比较严重,得分在4~6.9之间的是中级漏洞,0~3.9的则是低级漏洞。
    blackduck
    cvechecker
    口令安全

    加密验证。走读代码
    其他。如每次的加密都是唯一的,不得使用Random函数作为秘钥,不得使用有规则的随机种子
    证书安全

    替换证书
    证书到期
    删除证书
    web安全

    sql注入
    AppCan
    手动注入url,输入注入符号,如','',<!-- >,&
    抓包改cookie
    手动执行。如,没权限的角色访问高级权限的url
    抓包绕过验证码。服务器必须对验证码验证
    跨目录访问测试。抓包下载文件修改url,如http://www.test/downlad/getPdf,http://www.test/downlad/getPdf/....etc/pwd等改
    其他

    端口扫描 Nmap
    协议栈健壮性测试工具 Codenomicon
    模糊测试 Peach fuzz
    服务器日志检查。如是否打印敏感信息,Windows自带的防火墙日志,IIS日志,其他容器日志的检查和设置
    分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
    收藏收藏1
    回复

    使用道具 举报

    本版积分规则

    关闭

    站长推荐上一条 /1 下一条

    小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 关于我们

    GMT+8, 2024-11-8 17:51 , Processed in 0.062597 second(s), 22 queries .

    Powered by Discuz! X3.2

    © 2001-2024 Comsenz Inc.

    快速回复 返回顶部 返回列表