WEB安全性测试

一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密。参数操作、异常管理、审核和日志记录等几个方面入手。51Testing软件测试网p*RD1AwDbX

1.安全体系测试51Testing软件测试网W1ng*xM#}'~8l

1)      部署与基础结构51Testing软件测试网nAI gR-lG$qT

u      网络是否提供了安全的通信51Testing软件测试网0CH i9vg~-S'B^

u      部署拓扑结构是否包括内部的防火墙51Testing软件测试网pJ5@
xc5\

u      部署拓扑结构中是否包括远程应用程序服务器

u      基础结构安全性需求的限制是什么51Testing软件测试网MO%u$NW
N*]+X

u      目标环境支持怎样的信任级别

2)      输入验证

u      如何验证输入51Testing软件测试网Dby)F S?

u      是否清楚入口点

u      是否清楚信任边界

u      是否验证Web页输入51Testing软件测试网8^6fnG!Rva

u      是否对传递到组件或Web服务的参数进行验证51Testing软件测试网 V"L&Bl8Z|

u      是否验证从数据库中检索的数据51Testing软件测试网+W7a;a}u7kXDQ

u      是否将方法集中起来51Testing软件测试网 x.vdD}^AK4[I

u      是否依赖客户端的验证

u      应用程序是否易受SQL注入攻击

u      应用程序是否易受XSS攻击

u      如何处理输入

3)身份验证51Testing软件测试网@,p*SLq
D'Y#sO

u      是否区分公共访问和受限访问51Testing软件测试网0_\_$~(m9R

u      是否明确服务帐户要求

u      如何验证调用者身份

u      如何验证数据库的身份51Testing软件测试网.dM;`)\_X

u      是否强制试用帐户管理措施51Testing软件测试网v&|*W#as_/{

4)授权51Testing软件测试网1uZIvo[8P;A

u      如何向最终用户授权51Testing软件测试网Y;ZH^J-S

u      如何在数据库中授权应用程序51Testing软件测试网N!m&h@R
l u+s

u      如何将访问限定于系统级资源

5)配置管理51Testing软件测试网A1z3[Y M/M&]

u      是否支持远程管理

u      是否保证配置存储的安全

u      是否隔离管理员特权51Testing软件测试网)lj'q^6c_

6)敏感数据51Testing软件测试网 o1cz$Q\Re

u      是否存储机密信息

u      如何存储敏感数据51Testing软件测试网/oKo!IbG`

u      是否在网络中传递敏感数据

u      是否记录敏感数据

7)会话管理51Testing软件测试网w]J
v3v.@Z.^

u      如何交换会话标识符51Testing软件测试网7ZSX2E3@'M]

u      是否限制会话生存期51Testing软件测试网4X.cz6W g^^.q"E

u      如何确保会话存储状态的安全

8)加密

u      为何使用特定的算法51Testing软件测试网)w%W#] H"|+S6A:Wr

u      如何确保加密密钥的安全性51Testing软件测试网#kZ2]C'F4ZM0`,EB,T:S

9)参数操作

u      是否验证所有的输入参数

u      是否在参数过程中传递敏感数据

u      是否为了安全问题而使用HTTP头数据

10)异常管理51Testing软件测试网)x} kf|F3g9Y3g/k

u      是否使用结构化的异常处理51Testing软件测试网y;~dv;p,V:ZL

u      是否向客户端公开了太多的信息

11)审核和日志记录51Testing软件测试网1Tko,c.}+b(K j\
@

u      是否明确了要审核的活动

u      是否考虑如何流动原始调用这身份

2.应用及传输安全

WEB应用系统的安全性从使用角度可以分为应用级的安全与传输级的安全，安全性测试也可以从这两方面入手。

应用级的安全测试的主要目的是查找Web系统自身程序设计中存在的安全隐患，主要测试区域如下。51Testing软件测试网 eI&Q B G)h*M)~nM-L

1.      注册与登陆：现在的Web应用系统基本采用先注册，后登录的方式。

u      必须测试有效和无效的用户名和密码51Testing软件测试网%N~oo9_1`U

u      要注意是否存在大小写敏感51Testing软件测试网:VXH|o*D9V

u      可以尝试多少次的限制

u      是否可以不登录而直接浏览某个页面等。

2.      在线超时：Web应用系统是否有超时的限制，也就是说，用户登陆一定时间内（例如15分钟）没有点击任何页面，是否需要重新登陆才能正常使用。

3.      操作留痕：为了保证Web应用系统的安全性，日志文件是至关重要的。需要测试相关信息是否写进入了日志文件，是否可追踪。51Testing软件测试网)twQ%t/X(t

4.      备份与恢复：为了防范系统的意外崩溃造成的数据丢失，备份与恢复手段是一个Web系统的必备功能。备份与恢复根据Web系统对安全性的要求可以采用多种手段，如数据库增量备份、数据库完全备份、系统完全备份等。出于更高的安全性要求，某些实时系统经常会采用双机热备或多级热备。除了对于这些备份与恢复方式进行验证测试以外,还要评估这种备份与恢复方式是否满足Web系统的安全性需求。传输级的安全测试是考虑到Web系统的传输的特殊性，重点测试数据经客户端传送到服务器端可能存在的安全漏洞，以及服务器防范非法访问的能力。一般测试项目包括以下几个方面。

5.      HTTPS和SSL测试：默认的情况下，安全HTTP（Soure HTTP）通过安全套接字SSL（Source Socket Layer）协议在端口443上使用普通的HTTP。HTTPS使用的公共密钥的加密长度决定的HTTPS的安全级别，但从某种意义上来说，安全性的保证是以损失性能为代价的。除了还要测试加密是否正确，检查信息的完整性和确认HTTPS的安全级别外，还要注意在此安全级别下，其性能是否达到要求。

6.      服务器端的脚本漏洞检查：存在于服务器端的脚本常常构成安全漏洞，这些漏洞又往往被黑客利用。所以，还要测试没有经过授权，就不能在服务器端放置和编辑脚本的问题。51Testing软件测试网4@9A~6{J
~6b