Web安全测试知多少?这10个测试点很重要!

栏目: 编程工具 · 发布时间: 6年前

内容简介:安全测试就是要提供证据表明,在面对敌意和恶意输入的时候,应用仍然能够充分的满足它的需求。a.如何提供证据?我们通过一组失败的安全测试用例执行结果来证明web应用不满足安全需求。b.如何看待安全测试的需求?与功能测试相比,安全测试更加依赖于需求,因为它有更多可能的输入和输出可供筛选。

什么是安全测试?

安全测试就是要提供证据表明,在面对敌意和恶意输入的时候,应用仍然能够充分的满足它的需求。

a.如何提供证据?我们通过一组失败的安全测试用例执行结果来证明web应用不满足安全需求。

b.如何看待安全测试的需求?与功能测试相比,安全测试更加依赖于需求,因为它有更多可能的输入和输出可供筛选。

真正的软件安全其实际上指的是风险管理,即我们确保软件的安全程度满足业务需要即可。

Web安全测试知多少?这10个测试点很重要!

如何开展安全测试?

基于常见攻击和漏洞并结合实际添加安全测试用例,就是如何将安全测试变为日常功能测试中简单和普通的一部分的方法。

选择具有安全意义的特殊边界值,以及具有安全意义的特殊等价类,并将这些融入到我们的测试规划和测试策略过程中。

但是若在功能测试基础上进行安全测试,则需要增加大量测试用例。这意味着必须做两件事来使其便于管理:缩小关注的重点和测试自动化。

Web安全测试通常要考虑的测试点?

1、问题:没有被验证的输入 测试方法:

数据类型(字符串,整型,实数,等)允许的字符集

最小和最大的长度是否允许空输入参数是否是必须的重复是否允许数值范围特定的值(枚举型)特定的模式(正则表达式)

2、问题:有问题的访问控制

测试方法:

主要用于需要验证用户身份以及权限的页面,复制该页面的url地址,关闭该页面以后,查看是否可以直接进入该复制好的地址例:从一个页面链到另一个页面的间隙可以看到URL地址,直接输入该地址,可以看到自己没有权限的页面信息

3、错误的认证和会话管理

例:对Grid、Label、Tree view类的输入框未作验证,输入的内容会按照html语法解析出来 4、缓冲区溢出

没有加密关键数据

例:view-source:http地址可以查看源代码,在页面输入密码,页面显示的是 *****, 右键,查看源文件就可以看见刚才输入的密码

5、拒绝服务

分析:攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序,最终使程序陷入瘫痪,需要做负载均衡来对付 6、不安全的配置管理

分析:Config中的链接字符串以及用户信息,邮件,数据存储信息都需要加以保护。

程序员应该做的:配置所有的安全机制,关掉所有不使用的服务,设置角色权限帐号,使用日志和警报

分析:用户使用缓冲区溢出来破坏web应用程序的栈,通过发送特别编写的代码到web程序中,攻击者可以让web应用程序来执行任意代码

7、注入式漏洞 例:一个验证用户登陆的页面,

如果使用的 sql 语句为:

Select * from table A where username=’’ + username+’’ and pass word …..

Sql 输入 ‘ or 1=1 就可以不输入任何password进行攻击

8、不恰当的异常处理

分析:程序在抛出异常的时候给出了比较详细的内部错误信息,暴露了不应该显示的执行细节,网站存在潜在漏洞

9、不安全的存储

分析:帐号列表,系统不应该允许用户浏览到网站所有的帐号,如果必须要一个用户列表,推荐使用某种形式的假名(屏幕名)来指向实际的帐号。

浏览器缓存:认证和会话数据不应该作为GET的一部分来发送,应该使用POST

10、问题:跨站脚本(XSS)

分析:攻击者使用跨站脚本来发送恶意代码给没有发觉的用户,窃取他机器上的任意资料

测试方法:

HTML标签:<…>…</…>

转义字符:&(&);<(<);>(>); (空格) ;

脚本语言:

特殊字符:‘ ’ < > /

最小和最大的长度

是否允许空输入

总结:

随着软件发布周期的加快,软件的安全将会变得越来越重要。如今软件快速地进入市场,安全性往往会被忽略。但是测试人员应该时刻警惕着安全测试。对于一些社交应用来说,即使有一些问题,可能也不会太严重。但是,如果是涉及财务或者是医疗软件时,对bug就不会有那么高的容忍度。bug就像蛀虫,存在漏洞就会发生不可想象的事情,给产品印象造成无法挽回的形象!

欢迎加入  51软件测试大家庭,在这里你将获得【最新行业资讯】,【免费测试 工具 安装包】,【软件测试技术干货】,【面试求职技巧】... 51与你共同学习,一起成长!期待你的加入: QQ                群:               755431660


以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

算法交易:制胜策略与原理

算法交易:制胜策略与原理

[美]欧内斯特·陈(Ernest P. Chan) / 高闻酉、黄蕊 / 机械工业出版社 / 49.00

本书是一本引人入胜、信息量大、覆盖各类交易策略的图书。无论个人投资者,还是机构投资者,都可以借鉴和使用其中的策略。本书中的策略大致可分为均值回归系统和动量系统两大类。书中不仅介绍了如何使用每种类别的交易策略,更解释了各种策略之所以有效的原因。本书始终以简单、线性的交易策略为重心,因为复杂的交易策略容易受到过度拟合及数据窥探的侵害。数学和软件是算法交易的两条腿。本书用到了一定程度的数学知识,使其对各......一起来看看 《算法交易:制胜策略与原理》 这本书的介绍吧!

JSON 在线解析
JSON 在线解析

在线 JSON 格式化工具

HTML 编码/解码
HTML 编码/解码

HTML 编码/解码

Markdown 在线编辑器
Markdown 在线编辑器

Markdown 在线编辑器