安全性测试相关问题解答整理

发表于:2015-6-29 13:13

字体: | 上一篇 | 下一篇 | 我要投稿

 作者:51Testing    来源:51Testing软件测试网原创

  1.安全测试工程师和黑客有什么区别?
  回答者-疯狂的男子:
  安全测试工程师是在授权的情况下对客户系统,进行黑盒或者白盒测试,并且是要尽可能多的发现问题,必须考虑全面彻底,而黑客的目的只有一个,就是找到一个口子(系统漏洞)进行扩大化,不要求找多的漏洞。所以相对而言,安全工程师要求较高,但现实是残酷的,现在随便搞安全的,都可以叫工程师了。
  2.在软件测试中如何做web安全测试?
  添加补充,发现网站存在sql注入漏洞,但是如何证明注入漏洞?
  对xss攻击,如何进行攻击?输入篡改的方法?
  使用工具扫描就不用说了!工具太多!
  回答者—阿德玛:
  sql注入啥的证明很简单,通过注入点搞到数据库里的数据等,可以用sqlmap,也可以手注,或者自己写注入利用脚本;xss一般就盲打看能不能收到cookie之类的;越权漏洞就是两个账号测试,看是否能删除,修改,查看之类的。
  3.如何做好日常安全测试工作?需要用到哪些工具?
  回答者—jacksonren1987:
  安全可能跟其他测试不是特别一样,用我常说的就是“要知其然,还要知其所以然”,大部分开发人员可能并不了解一些安全漏洞,所以很多时候你提出的问题开发团队无法给出很好的回复。这时候可能需要我们去“教”开发人员写代码。一个好的安全人员需要了解原理、熟悉测试手段、熟悉防范措施,然后按照合理的安全测试流程去工作。具体的流程可以参考我写的这篇文章http://www.besttest.cn/的自学手册中“安全测试自学路线”。
  至于工具,手工测试我比较推荐burpsuite,辅助一些专用软件 sqlmap,csrftester等
  4.软件安全测试架构组成部分以及如何实施的?
  回答者—匿名用户:
  A:谈安全测试架构,首先我们需要对测试架构这个概念有一个了解。这里的架构不仅仅指一个自动化或者半自动化测试框架,而包含了更多问题。在软件测试活动中,一个测试架构师要解决什么问题?
  例如:如何更好的指导开发工程师写出更高效的代码?如何用更快捷高效的办法来设计测试用例?如何提高测试覆盖率?如何完成复杂系统的非功能性(性能、安全性、兼容性、可靠性等)?能否对测试技术的发展趋势做出正确判断?等等一系列问题
  测试架构就是为解决上述问题而产生的,安全测试架构也是如此。大体上看可以分为软件系统技术架构和软件测试框架两部分。第一部分也就是包括需要对安全测试点进行合理的划分、归类,建立用例模型,设计合理的测试结构;从测试工作角度说,需要建立合适的测试管理系统;从技术发展趋势上说,就包括研发新的测试方法,并借助测试工具来实现。
  至于说软件测试架构这一部分,其实也就是集成测试环境、测试脚本分层处理等,从安全测试角度来看,更多的是如何将安全测试套件与部分半自动化工具集成起来。这里我推荐的是以Burpsuite为核心,以sqlmap等半自动化开源测试工具的模式。现在网上论坛关于安全测试介绍相对较少,相对而言,Besttest网站上关于安全测试的内容,尤其是安全测试自学路线(超链)能给安全测试学习者很大的启发。
  5.软件安全测试技术和软件漏洞挖掘技术是相同的么?思路一样么?
  回复者-Stone Charles:
  安全测试比渗透测试的范围要更大些
  例如安全合规性测试,也是一种安全测试,但与渗透测试无关。
  专门针对安全功能和组件的测试,也是安全测试的一种,但也跟专门的渗透测试无关。
  6.APP安全测试与普通B/S架构的渗透测试有什么区别呢?
  回复者-知乎用户:
  b/s架构和app测试其实没多大变化,app的漏洞可能还会在app上在重新在出现,
  b/s偏向的更多的是传统的web安全,而app,转变成为移动安全,这里不仅仅谈web安全,因为安全测试和渗透测试这2个概念其实并不相同,很容易混淆。
  从传统安全来讲这2者区别:
  安全测试:方向是查找系统脆弱点威胁建模,告诉你的系统存在哪些风险,而大多不会去关注漏洞的可利用性。
  7.用appscan工具,如何较好的实现网站系统的安全性测试
  回答者—jacksonren1987:
  appscan,webinspect这两种工具的使用,其实我个人是并不推荐的,一来自动化审计所出现的bug漏报错报比较严重,二来过于依赖自动审计工具,对于其提出的问题,你没有原理的了解就没办法知道问题产生的原因;三来开发人员有时需要你去指导他们修复一些安全问题,使用自动审计工具你也没办法去了解防范手段等;四就是对于测试人员而言,自动审计对于自己的提高也是毫无裨益的
  8.做标准的安全渗透测试方案,要学什么?
  想毕业后做渗透测试的工作。确不知道具体要学那些,才能进入这种公司。
  求人发一份详细资料。
  回答者-lxghost:
  1.最重要的是知道渗透测试是需要授权的,请遵守法律。
  2.标准是PTES: Penetration Testing Execution Standard
  http://netsec.ccert.edu.cn/hacking/files/2011/07/PTES_MindMap_CN1.pdf
  不过实际项目中没那么标准,扫描器和手工各一半,关键是报告要写得好。
  3.学好基础知识,知道一个网站是怎么建立和维护的,能看懂代码。
  少看别人的文章,不要只会模仿,自己多动手实践,学会思考。
《2023软件测试行业现状调查报告》独家发布~

关注51Testing

联系我们

快捷面板 站点地图 联系我们 广告服务 关于我们 站长统计 发展历程

法律顾问:上海兰迪律师事务所 项棋律师
版权所有 上海博为峰软件技术股份有限公司 Copyright©51testing.com 2003-2024
投诉及意见反馈:webmaster@51testing.com; 业务联系:service@51testing.com 021-64471599-8017

沪ICP备05003035号

沪公网安备 31010102002173号