51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步,快速开始

微信登录,快人一步

查看: 5355|回复: 5

求安全测试规范文档

[复制链接]

该用户从未签到

发表于 2009-8-31 10:33:14 | 显示全部楼层 |阅读模式
急求安全测试规范文档

[ 本帖最后由 nanmu 于 2009-8-31 18:44 编辑 ]
回复

使用道具 举报

该用户从未签到

 楼主| 发表于 2009-8-31 18:48:15 | 显示全部楼层

列出了一些测试的基本要点,请教高人补充

1. 不登录系统,直接输入登录后的页面的url是否可以访问
  2. 不登录系统,直接输入下载文件的url是否可以下载,如输入http://url/download?name=file是否可以下载文件file
  3. 退出登录后按后退按钮能否访问之前的页面
  4. ID/密码验证方式中能否使用简单密码。如密码标准为6位以上,字母和数字混合,不能包含ID,连续的字母或数字不能超过n位
  5. 重要信息(如密码,身份证号码,信用卡号等)在输入或查询时是否用明文显示;在浏览器地址栏里输入命令javascrīpt:alert(doucument.cookie)时是否有重要信息;在html源码中能否看到重要信息
  6. 手动更改URL中的参数值能否访问没有权限访问的页面。如普通用户对应的url中的参数为l=e,高级用户对应的url中的参数为l=s,以普通用户的身份登录系统后将url中的参数e改为s来访问本没有权限访问的页面
  7. url里不可修改的参数是否可以被修改
  8. 上传与服务器端语言(jsp、asp、php)一样扩展名的文件或exe等可执行文件后,确认在服务器端是否可直接运行
  9. 注册用户时是否可以以'--,' or 1=1 --等做为用户名
  10. 传送给服务器的参数(如查询关键字、url中的参数等)中包含特殊字符(','and 1=1 --,' and 1=0 --,'or 1=0 --)时是否可以正常处理
  11. 执行新增操作时,在所有的输入框中输入脚本标签(<scrīpt>alert("")</scrīpt>)后能否保存
  12. 在url中输入下面的地址是否可以下载:http://url/download.jsp?file=C:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/passwd
  13. 是否对session的有效期进行处理
  14. 错误信息中是否含有sql语句、sql错误信息以及web服务器的绝对路径等
  15. ID/密码验证方式中,同一个账号在不同的机器上不能同时登录
  16. ID/密码验证方式中,连续数次输入错误密码后该账户是否被锁定
  17. 新增或修改重要信息(密码、身份证号码、信用卡号等)时是否有自动完成功能(在form标签中使用autocomplete=off来关闭自动完成功能
    18.SQL注入
    19.跨站点攻击XSS
   20.COOKIE泄露
   21.缓冲区溢出
   22.隐藏域攻击
   23.服务拒绝
   24.异常处理泄露
   25.配置管理
   26.目录设置漏洞


大家看看如果要补充的,尽管发上来吧,我要整理学习,哈哈哈哈,先谢谢了
回复 支持 反对

使用道具 举报

该用户从未签到

发表于 2009-9-25 11:03:13 | 显示全部楼层
11. 执行新增操作时,在所有的输入框中输入脚本标签(<scrīpt>alert("")</scrīpt>)后能否保存
不全面,不是说这类内容不能被保存,而是应该看这类内容有没有被正确转码。在最终输出到浏览器的时候保证<是&lt;,>是&gt;就可以了。要按你这么测试,输入(<iframe src="javascript:xxx">)保存了也会造成XSS攻击的。
15. ID/密码验证方式中,同一个账号在不同的机器上不能同时登录
这个不是绝对的吧,看需求。
16后边应该再补充一个,提交留言、评论之类的表单,是否有验证码
因为如果没有验证码的话,很容易被灌水机不停的往数据库里写数据的,浪费资源不说,可能把有用的信息也给淹没了。
回复 支持 反对

使用道具 举报

该用户从未签到

 楼主| 发表于 2009-11-19 18:33:37 | 显示全部楼层

回复 3# 的帖子

3Q,以后会注意的,学习学习
回复 支持 反对

使用道具 举报

该用户从未签到

发表于 2009-11-19 19:24:43 | 显示全部楼层
上面可以归结,功能性安全测试,
还有
性能安全性测试,文档安全性测试,渗透测试。
回复 支持 反对

使用道具 举报

本版积分规则

关闭

站长推荐上一条 /1 下一条

小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 关于我们

GMT+8, 2024-3-29 07:28 , Processed in 0.073553 second(s), 29 queries .

Powered by Discuz! X3.2

© 2001-2024 Comsenz Inc.

快速回复 返回顶部 返回列表