博主简介: 八年软件测试,五年测试管理,熟悉电商/支付/证券方面测试,研究性能,安全,自动化等测试技术;目前从事互联网金融证券测试!

发布新日志

  • 我的新浪微博,欢迎大家访问:http://t.sina.com.cn/mayingbao

    2010-01-14 16:20:06

    我的新浪微博,欢迎大家访问:http://t.sina.com.cn/mayingbao
  • [原创]什么是性能测试

    2008-10-10 14:27:11

    [原创]什么是性能测试?

    以下是Wikipedia中的解释:

    Performance testing
    From Wikipedia, the free encyclopedia

    Jump to: navigation, search

    http://en.wikipedia.org/wiki/Performance_testing

     

    Performance Testing covers a broad range of engineering or functional evaluations where a material, product, system, or person is not specified by detailed material or component specifications: rather, emphasis is on the final measurable performance characteristics.

    Performance testing can refer to the assessment of the performance of a human examinee. For example, a behind-the-wheel driving test is a performance test of whether a person is able to perform the functions of a competent driver of an automobile.

    In the computer industry, software performance testing is used to determine the speed or effectiveness of a computer, network, software program or device. This process can involve quantitative tests done in a lab, such as measuring the response time or the number of MIPS (millions of instructions per second) at which a system functions. Qualitative attributes such as reliability, scalability and interoperability may also be evaluated. Performance testing is often done in conjunction with stress testing.

    为什么要进行性能测试呢?

    性能测试的目的是验证软件系统是否能够达到用户提出的性能指标,并发现应用程序中中存在的性能瓶颈,如:如资源争用或运行速度慢的代码。然后通过性能调优,达到优化系统的目的。

     

    性能测试的目标是什么?

    以下是Robert W. Buchanan, Jr 的《The Art of Testing Network Systems(John Wiley & Sons, Inc., 1996) 中对此有详细描述。

    性能测试目标

    性能测试目标例子

    度量最终用户的响应时间

    完成一个业务流程需要多长时间?
    如:10用户同时登录,多长时间服务器可以返回数据!

    定义最佳硬件配置

    哪一种硬件配置可以提供最佳性能?

    检查可靠性

    系统无错误或无故障运行的难度或时间长度是多少?

    查看硬件或软件升级

    升级对性能或可靠性有何影响?

    评估新产品

    应选择哪些服务器硬件或软件?

    度量系统容量

    在性能没有显著下降的情况下,系统能够处理多大的负载?

    确定瓶颈

    什么因素导致响应时间延长?

     

    在实施性能测试过程中,应制定性能测试目标来。为了提供评估基准,应明确区分可接受和不可接受测试结果的标准。

    例如:

    比较模糊的性能测试目标:新产品要上线,请选择web服务器的硬件。

    明确的性能测试目标:新产品要上线,在一台 HP 服务器和一台 NEC 服务器上运行同一个300 个虚拟用户。当 300 个用户同时浏览 Web 应用程序页面时,确定哪一种硬件的响应时间更短。

     

     

    性能测试应贯穿于整个软件产品生命周期中,以下是与各阶段相关联的关系:

    产品计划和设计

    产品开发

    产品部署

    产品上线生

    产品升级

    评估新产品

    度量响应时间

    检查可靠性

    度量响应时间

    检查硬件或软件升级

    度量响应时间

    检查最佳硬件配置

    度量响应时间

    确定瓶颈

    度量系统容量

     

    检查硬件或软件升级

    度量系统容量

     

     

     

    检查可靠性

     

     

     

     

    如果你明确了具体的性能目标后,可以开始进行测试,确定应用程序是否满足这些要求。通常性能测试假定这些应用程序稳定、可靠地运行。因此,在性能测试中应最大限度的减少影响性能测试的条件。例如,代码中的错误可以导致出现性能问题,甚至掩盖性能问题。所以要精确地比较不同性能测试的结果,应用程序必须正确地工作。如果调整过程修改了组件的实现,则重新测试应用程序的功能尤其重要。应用程序必须通过功能性测试后才可以测试性能。除了应用程序更改外,硬件、网络通信量、软件配置、系统服务等诸多方面也会发生意外的更改。控制应用程序更改很重要。

    原始链接:http://www.cnblogs.com/mayingbao/archive/2006/04/13/374070.html

  • 我答:51testing软件测试每周一问:软件测试过程改进的内容和注意事项有哪些?

    2008-10-08 17:57:52

    [原创]我答51testing每周一问?软件测试过程改进的内容和注意事项

       软件开发过程的质量决定了软件系统的质量,同样软件测试过程改进的质量决定了测试的质量和效率。其中,测试技术解决了测试采用的方法和技术问题,测试管理保证各项测试活动的顺利开展。然而,对于一个工程而言,过程也就是生命周期,也会至关重要地影响着生产效率和软件质量。测试工作有其本身的周期。测试过程从产品的需求阶段开始,此后,与整个开发过程并行开展,换句话说,伴随着开发过程的每一个阶段,都有一个重要的测试活动。

    以下主要用一个示意图来描述软件测试过程改进相关流程及信息流走向:  

    软件测试过程改进框架图:

     

    软件测试过程改进实施步骤。
    1
    确定测试过程改进目标:确定在一段时间内达到的测试过程改进目标;
    2
    对比分析测试过程改进差异点: 把所要改进的测试过程要达到的目标与目前的测试过程作比较,找出存在的差距。

    3制定软件测试过程改进计划:俗语说“凡事预则立,不立则废“。制定测试过程改进亦是如此!
    4
    建立跟踪控制机制:测试过程的改进的需要建立相应跟踪,最好应由专人来负责,定期定时定点输出相应记录信息!
    5
    实施测试过程改进策略:制定了测试过程改进计划,应去执行具体的流程操作。然后要注意评审和验证,定期定时定点监控,采集测试过程改进度量数据。
    6
    反馈总结再总结:总结测试过程实施过程中的经验,然后修改调整项目计划及实施改进的策略。

    软件测试过程改进的内容,对于此问题,由于不同的公司软件研发力量,人员配置等不仅相同,所以用下图所示列出了一个提纲,可以给大家参考:

     

    软件测试过程改进注意事项:

    1 获得管理部门支持;

    2 确定测试过程“基线”,明确度量的参考数据;

    3 制定合量的度量指标;

    4 考虑测试过程改进范围大小,应结合公司实际情况;

    5 监控过程的并进行改进;

    6 相关培训及支持工作;

    7 “持之以恒”,过程改进的效果通常都是需要一定时间及数据才能说明问题。

    原始链接:http://www.cnblogs.com/mayingbao/archive/2008/10/08/1306530.html

  • [原创]如何在Windows下安装Bugfree2.0.0.1

    2008-09-09 14:12:49

    [原创]如何在Windows下安装Bugfree2.0.0.1

    在安装BugFree之前,需要首先安装Apache, PHP, Mysql支持软件包,例如XAMPPEASYPHP等。
    下面以XAMPP为例进行说明。

    1 访问http://www.apachefriends.org/zh_cn/xampp.html 下载并安装最新的XAMPP版本。比如我下载的是:xampp-win32-1.6.7-installer.exe

    2 安装“xampp-win32-1.6.7-installer.exe”采用默认方式,一直“下一步”操作即可;

    3 下载BugFree2.0.1安装包,解压后复制到XAMPP系统的htdocs子目录下,比如我的安装目录为:C:\xampp\htdocs\bugfree

    4 接下来修改配置文件“Include/Config.inc.php”,打开bugfree的安装目录,复制文件Include/Config.inc.Sample.php 为新文件Include/Config.inc.php,编辑新创建的文件,修改数据库链接设置:

    ------------------------------------------------------------------------------------------------

    /* 3. Define the username and password of the BugFree database. */

    $_CFG['DB']['User']        = 'root';          // 数据库登录用户名

    $_CFG['DB']['Password']    = '';             // 数据库登录用户密码

    $_CFG['DB']['Host']        = 'localhost';     // 数据库服务器地址

    $_CFG['DB']['Database']    = 'bugfree2';    // 指定BugFree数据库名称

    $_CFG['DB']['TablePrefix'] = 'bf_';            // 数据库表前缀,默认为bf_。除非有冲突,不建议修改或为空

    $_CFG['DBCharset']         = 'UTF8';        // 数据库编码设置,保留默认值

    ------------------------------------------------------------------------------------------------------------------

    以上我采用默认方式^_^

    5 在浏览器访问http://192.168.42.94/bugfree。如果设置的数据库不存在,按照提示创建数据库,再点击继续安装

    6 点击“安装全新的 BugFree2”

    7 安装成功后,显示首次登录的默认管理员帐号和密码,按照提示首先使用默认管理员用户名和密码登陆BugFree(默认管理员帐号:admin 密码:123456);

    如果你按照上面安装,相信安装BugFree是哪么样的轻松!

    哪么什么是BugFree呢?

     

    BugFree是借鉴微软内部Bug管理工具Product Studio,基于Browser/Server架构,免费且开发源代码的缺陷管理系统。BugFreePHP语言和MySQL数据库实现。服务器端在LinuxWindows平台上都可以运行;客户端无需安装任何软件,通过IEFireFox等浏览器就可以自由使用。

    BugFree 2.0 BugFree 1.1的基础上,集成了Test CaseTest Result的管理功能。具体使用流程是:首先创建Test Case(测试用例),运行Test Case产生Test Result(测试结果),运行结果为FailCase,直接创建BugTest Case标题、步骤和Test Result运行环境等信息直接复制到新建的Bug

     

    如果你对Bugfree感兴趣,你可以参考以下网站:

    http://www.bugfree.org.cn/   自由软件 BugFree

    http://www.bugfree.cn/    开源管理工具BugFree

    如果你想了解更多测试相关知识,请访问我的Blog:

    http://www.cnblogs.com/mayingbao/ (卖烧烤的鱼测试博客

     

  • [论坛] [原创]Google Chrome浏览器的缺陷

    2008-09-04 11:52:01

    1  Google Chrome浏览器“用词不切贴”,表意不明朗
    1.1 如浏览器搜索框中"键入以搜索",这个好像些太生硬了吧! google_01.gif
    1.2 浏览器最右上角中的,最大化图标切换时为“恢复”!google_02.gif
    2  Google Chrome浏览器“功能性兼容性不完善“
    2.1 如,目前我正在使用Google Chrome浏览器,在51testin上发表它的缺陷,需要上传图片文件,哪么下图显示了什么呢? google_03.gif
    2.2 打开Google Chrome浏览器,然后新建一个"新建隐身窗口"->关闭“新建隐身窗口”->最后点击首次打开的Google Chrome浏览器,显示如下图 google_04.gif
    3 Google Chrome浏览器“中英文字输入框”处理不协调,英文字母显示不完整,如修改标签,见图google_05.gif
    4 Google Chrome浏览器,易用性细节问题处理不够
    4.1 如查看51testing源代码功能,标题显示“无标题”
    5 Google Chrome浏览器,搜索历史记录性能不佳
    5.1 如搜索历史访问记录,www.google.cn,右边列举出以前的访问记录,但是缩略图却未全部显示出来

    google_01.gif

    google_02.gif

    google_03.gif

    google_04.gif

    google_05.gif

    google_06.gif

    google_07.gif
  • [论坛] [原创]新员工入职培训提纲之一"系统测试用例设计"

    2008-09-02 17:55:20

    [原创]新员工入职培训提纲之一"系统测试用例设计"

    所编写内容均参考了许多书籍,包括一些知名测试培训机构,希望可以给更多从事测试的朋友一些帮助;
    具体培训大纲细节的技术文档,请不要像我发邮件索要,涉及到公司的一些敏感信息,请见谅^_^

    testcase.gif
  • 我答:51testing软件测试每周一问:如何建立测试知识库?

    2008-07-18 15:48:26

    我答:51testing软件测试每周一问:如何建立测试知识库?

    1 测试知识库建立的作用应贯穿到测试人员头脑中,要相信集体的力量是无穷的!
    2 建立合理的考核制度在测试知识库上面,做为测试经理,考核测试人员不应仅看Bug,可以参考我以前在51testing上发表的贴子,如果仅有流程
    而没有相应的考核制度,我相信测试知识库仅是空中的阁

    PS:[原创]如何有效的考核测试人员  卖烧烤的鱼51testing Blog:http://www.51testing.com/?uid/26684
    3 请上级领导支持,提供相应的资源,如所需人力,物力费用等,要做就要做的漂亮,提出自己创新意见其实也是将测试的地位提升
    4 划分合理的测试知识库内容,如目前我为所在公司开发的类似测试知识库的目录结构,见下面:

    5 结合适合公司流程的简单易行的方法,可以参考以下几种:
    5.1 建立一个wiki,划分测试知识库
    5.2 建立一个测试技术论坛
    5.3 简单易行的共享文件目录
    5.4 轻量级的配置管理工具cvs,vss等
    5.5 中量级的辅助工具如:用lotus开发相应的模块,如:测试理论文章的创建,上传,编辑,删除等,事先需和测试人员达成共识,制定相应的流程
    5.6 重量级的专业软件如:购买相应的软件如imb的测试工具配套在一起,好像钱太多了
    6 确定知识库的更新策略,定期检查,使测试知库赋予生命力
    7 值得一提的是“测试知识库“不应仅扣“测试”二字,应是和测试相关的内容均建立起来
    最后列举下我建的测试知识库中一些目录,如文档模板目录明细:
    再列举一下,测试环境搭建清单模板内容,其实这些内容均是我所在的公司,我负责组织相关测试人员共同知识的结晶,集体的力量还是牛!
    内容我贴在卖烧烤的鱼测试博客:http://mayingbao.cnblogs.com上仅部分http://www.cnblogs.com/mayingbao/archive/2007/12/06/985755.html

    附件

    testk1.gif (9.16 KB)

    2008-7-18 15:45

    testk1.gif

    testk2.gif (11.5 KB)

    2008-7-18 15:45

    testk2.gif

  • 我答:51testing软件测试每周一问:如何编写有效的测试报告?

    2008-07-02 16:05:28

    原贴:http://bbs.51testing.com/thread-118778-1-1.html

    如何编写有效的测试报告?

    以下是我的回答:

    1 了解你的听众:
    通常情况下测试报告主要由以下几类人员查看:
    “用户”着重点在于测试结论部分;
    “开发人员”着重点在于缺陷结果以及分析得到产品质量的信息;
    “项目管理者”着重点在于测试中资源,时间和成本;
    “高层经理”着重点在于项目当前的状况与其他项目比较。
    2 分而“制”治
    所以针对不同的听众,你需要制定不同的“测试报告”,报告的内容是关于它们最为关心的
    哪么先来看看一份比较详细的测试报告,目前是我为公司制定的:
    图在下面已贴出

    以上测试报告,将我们之前所列的“听众”均包括在内,所以这样的测试报告比较规范,但是存在如果我们测试报告的对像并非前面所列的“听众“,突显出内容过稍显多余

    所以测试报告应分为以下几大部分:缺陷报告,测试分析报告,测试评估报告,针对不同的听众有效的去报告!
    如我们公司目前采用的有以下模板:
    XXX公司_技术中心_测试_缺陷报告.doc
    XXX公司_技术中心_测试_测试分析报告.doc
    XXX公司_技术中心_测试_测试评估报告.doc
    不同的项目测试阶段制定不同的测试报告
    单元测试,集成测试,系统测试和验收测试分别制定不同的测试报告,当然前面所列举的测试报告的元素需要完备,具体要看公司要求,如下面所示

    XXX公司_技术中心_测试_单元测试报告.doc
    XXX公司_技术中心_测试_集成测试报告.doc
    XXX公司_技术中心_测试_系统测试报告.doc
    XXX公司_技术中心_测试_验收测试报告.doc


    不同的项目测试类型制定不同的测试报告
    某些公司仅要求测试人员出某特定类型的测试报告,如功能测试,性能测试,安全性测试和用户可接受度测试等分别制定不同的测试报告,当然前面所列举的测试报告的元素需要完备,具体要看公司要求,如下面所示
    XXX公司_技术中心_测试_功能测试报告.doc
    XXX公司_技术中心_测试_性能测试报告.doc
    XXX公司_技术中心_测试_安全性测试报告.doc
    XXX公司_技术中心_测试_用户可接受度测试报告.doc

    为什么我没有写很多编写测试报告的实例呢?
    因为仅提供思考方法及角度,具体的“有效测试报告”还需要你结合公司实际情况制定,当然你可以参考我上面所提及的

    推荐参考以下文章:
    1 如何编写更佳的bug report
    http://blog.csdn.net/imlogic/archive/2006/06/22/821733.aspx
    2 SOFTWARE TEST REPORT
    http://www.pogner.demon.co.uk/mil_498/str-did.htm
    3测试报告编写指南
    http://www.51testing.com/html/43/777.html

    [ 本帖最后由 卖烧烤的鱼 于 2008-7-2 15:59 编辑 ]

    附件

    test report.gif (9.9 KB)

    2008-7-2 15:56

    test report.gif

  • [论坛] [原创]初级测试程师面试题

    2008-07-01 17:55:56

    [原创]初级测试程师面试题

    说明:
    面试题涉及内容比较广,重点考查面试者知识技能,及特长,所以仅提供参考^_^

    XXX公司_技术中心_测试_初级测试工程师面试题.pdf
    (2008-07-01 17:54:48, Size: 97 kB, Downloads: 1)

  • 我答:51testing软件测试每周一问:常用软件缺陷预防技术和缺陷分析技术有哪些?

    2008-06-30 09:51:55

     

    51testing每周一问:常用软件缺陷预防技术和缺陷分析技术有哪些?

    http://bbs.51testing.com/viewthread.php?tid=117496&extra=&page=1

    一 缺陷分析技术:
    1 利用缺陷来源和发现阶段矩阵分析:缺陷来源和发现阶段,构造矩阵,跟踪软件开发各环节,目的是找到项目中最需要改进的环节,当然是缺陷数量和严重性比较多的地方;
    2 利用缺陷分布在项目模块分析:将产品化分为各模块,分析具体模块的数据,找出影响产生质量关键的模块;
    3 利用缺陷分类来进行缺陷的根源分析, 对于测试出来的BUG进行缺陷分类,按照缺陷的类型分布,找出那些关键的缺陷类型,分析其产生的根源;
    举个例子:
    以前公司项目利用此方法分析,系统中问题多产生在”接口“原因造成,最后我和经理与相关人员沟通确定”接口评审策略“,“接口变更策略”,“接口文档编写CheckList”等,从哪以后项目接口问题减少了很多!
    所以缺陷分析应是这样去做,发现具体的原因,需要制定相应的流程改进,这才是我们真正需要的!
    4缺陷趋势报告:按各种状态将缺陷计数作为时间的函数显示,如缺陷数量在整个测试周期的时间分布,此方法比较实用于项目测试过程中或是回归测试中
    5 缺陷年龄分析:缺陷活动状态的时间,分析一个缺陷处于某种状态的时间,了解处理这些缺陷的进度情况,通常情况我是结合缺陷严重性一起分析,因为我上面的技术总监更为关心的项目中存在多少严重问题,是否可以上线;
    6 借用缺陷工具分析,推荐像TestDiretor,JIRA等工具

    二缺陷预防技术
    1 与项目中相关人员达到共同“认识”,什么是缺陷?常见的缺陷有哪些?缺陷的危害,也许有人会问为什么将些列举在最前面,因为假如你的团队工作人员对缺陷都没一个清醒的认识,你认为预防二字如何谈起?
    2 缺陷预防应从软件生命周期开如,一个字“早”,测试应早介入,当然从需求->构架->设计->编码->测试等环节入手,渗入不同的测试方法和技术
    3 借用对已有缺陷进行分析,例如我上面的介绍的项目“接口”缺陷很多的问题,最后分析通过改进流程及方法,最终将缺陷减少了许多
    4 最后特别注意一点,缺陷预防应采用好的工具收集数据分析,如Bug管理工具,需求管理工具,变更管理工具,只有有效的数据,才能真实的度量出我们的项目真正的本质,只有这样才能有可信只处^_^

    欢迎访问我的博客:卖烧烤的鱼测试博客 探讨软件测试 软件测试架构 测试流程 测试过程改进 测试管理 需求管理 缺陷管理 配置管理 项目管理 性能测试 安全性测试 可用性测试 可靠性测试 LoadRunner 易用性测试 敏捷测试 快速测试 软件质量保证 质量度量
    http://mayingbao.cnblogs.com

    [ 本帖最后由 卖烧烤的鱼 于 2008-6-20 16:36 编辑 ]

  • 我答:51testing软件测试每周一问:如何设计或者挑选有效的回归测试用例?

    2008-06-30 09:45:10

    我答:51testing软件测试每周一问:如何设计或者挑选有效的回归测试用例?

    如何设计或者挑选有效的回归测试用例?(08-05-23)
    http://bbs.51testing.com/thread-115662-1-1.html

    最近刚到新公司上班,面临的比较突出的问题是人力紧张,由于公司的产品用在Windows mobile,MTK,Kjava,Symbian,website几部分,测试人员<5(+上我),如何高效的组织测试团队确实是个挑战?回归测试属于软件测试环节比较重要的部分,所以花费了一些时间总结此文,希望能给测试人员稀少,产品或项目众多的公司,提供一些建议:
    也欢迎大家来的我的博客探讨软件测试:卖烧烤的鱼的测试博客:http://mayingbao.cnblogs.com/

    所谓回归测试,即就是在软件生命周期中,只要软件发生了改变,就可能给该软件产产生问题;所以,每当软件发生变化时,
    我们就必须重新测试现有的功能,以便确定修改是否达到了预期的目的,检查修改是否破坏原有的正常功能。
    其实仅单纯从英文单词Regress很好理解:return to a worse or less developed state.即是退化,衰退的意思,
    检查软件从正常的稳定状态退化或是衰退到不正常工作的不稳定状态。

    注意:回归测试不仅仅是针对在系统测试阶段,而是在软件生命周期中^_^

    如果以上的定义均明确后,有效的回归测试应从这几方面:


    其实最有效的回归测试方法建立在开发测试库的基础上;开发在创建测试库,每次生成程序的新版本时都可以运行这些用例。  
    只有有效的从源头避免风险才能有效的进行回归测试(目前国内的公司,能从事此级别的,太少)

    1 强调单元测试时加强回归测试,引入代码评审,引入自动测试;
    2 集成和系统级的测试时,加强测试用例评审,回归测试用例的选择;

    具体的选择可以参考以下几点:
    1 开发设计测试用例时制定优先级,如高,中,低,方便以后自动化或是策略选择;
    2 配置管理时,引入测试用例基线管理,有效管理测试用例;
    3 定期维护测试用例增,删,保持最新状态;


    回归测试时需考虑效率和覆盖度有效配合,通常的策略有以下几种:

    基于风险选择测试:
    哪些功能是软件的特色?
    哪些功能是用户最常用的?
    哪些功能出错将导致用户不满?
    哪些程序是最复杂、最容易出错的?
    哪些程序最容易扩散错误?
    哪些程序是开发者最没有信心的?
    备注:只有有效的避免最大的风险,用户反感的问题,回归测试可以说达到了70%任务!

    基于Regress衰退概念的测试:
    开发人员修改的局部程序时,可能已经处理了症状,所以主要测试其被改变的模块和它的接口上;
    但是也可能存在未触及到根本原因,所以需要测试周边程序及相互依赖性的部分;
    错误本身可能得到了修复,但修复也可能造成其他错误,所以有必要为每个修复的错误,设计回归测试。

    基于全面测试策略:
    如果时间充足,资源齐全,可以进行全面测试,最低的遗漏回归错误的风险,但测试成本最高,非上策!

    其它的回归测试:
    1 基于GUI方式的自动化回归测试技术
    2 基于Ad Hoc 回归测试:增加随机测试,避免回归测试肓点
    备注:Ad Hoc Testing可参考:卖烧烤的鱼的测试博客:http://www.cnblogs.com/mayingbao/archive/2006/04/25/384160.html
    3 基于交叉测试:多人互动的回归测试,尤其在核心的功能点,交互性比较的

    [ 本帖最后由 卖烧烤的鱼 于 2008-5-26 16:53 编辑 ]
  • 我答:51testing软件测试每周一问:在网站测试中如何做好安全性测试?

    2008-06-30 09:40:07

    51testing软件测试每周一问:在网站测试中如何做好安全性测试?(08-05-16)
    http://bbs.51testing.com/thread-114973-1-1.html
    以下是我的回复^_^

    安全性测试(security testing)是有关验证应用程序的安全服务和识别潜在安全性缺陷的过程。

    注意:安全性测试并不最终证明应用程序是安全的,而是用于验证所设立策略的有效性,这些对策是基于威胁分析阶段所做的假设而选择的。

    以下是我读<<软件评测试教程>>中的Web安全性测试章节内容,并进行修改的笔记,前面看了好多朋友写的,不过不是很全,希望对大家有所帮助,建议大家还是买本<<软件评测试教程>>此书绝对物超所值^_^

    WEB安全性测试
    一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密。参数操作、异常管理、审核和日志记录等几个方面入手。
    1.        安全体系测试
    1)        部署与基础结构
    l        网络是否提供了安全的通信
    l        部署拓扑结构是否包括内部的防火墙
    l        部署拓扑结构中是否包括远程应用程序服务器
    l        基础结构安全性需求的限制是什么
    l        目标环境支持怎样的信任级别
    2)        输入验证
    l        如何验证输入
    A.        是否清楚入口点
    B.        是否清楚信任边界
    C.        是否验证Web页输入
    D.        是否对传递到组件或Web服务的参数进行验证
    E.        是否验证从数据库中检索的数据
    F.        是否将方法集中起来
    G.        是否依赖客户端的验证
    H.       应用程序是否易受SQL注入攻击
    I.        应用程序是否易受XSS攻击
    l        如何处理输入
    3)        身份验证
    l        是否区分公共访问和受限访问
    l        是否明确服务帐户要求
    l        如何验证调用者身份
    l        如何验证数据库的身份
    l        是否强制试用帐户管理措施
    4)        授权
    l        如何向最终用户授权
    l        如何在数据库中授权应用程序
    l        如何将访问限定于系统级资源
    5)        配置管理
    l        是否支持远程管理
    l        是否保证配置存储的安全
    l        是否隔离管理员特权
    6)        敏感数据
    l        是否存储机密信息
    l        如何存储敏感数据
    l        是否在网络中传递敏感数据
    l        是否记录敏感数据
    7)        会话管理
    l        如何交换会话标识符
    l        是否限制会话生存期
    l        如何确保会话存储状态的安全
    8)        加密
    l        为何使用特定的算法
    l        如何确保加密密钥的安全性
    9)        参数操作
    l        是否验证所有的输入参数
    l        是否在参数过程中传递敏感数据
    l        是否为了安全问题而使用HTTP头数据
    10)        异常管理
    l        是否使用结构化的异常处理
    l        是否向客户端公开了太多的信息
    11)        审核和日志记录
    l        是否明确了要审核的活动
    l        是否考虑如何流动原始调用这身份
    2.        应用及传输安全
    WEB应用系统的安全性从使用角度可以分为应用级的安全与传输级的安全,安全性测试也可以从这两方面入手。
    应用级的安全测试的主要目的是查找Web系统自身程序设计中存在的安全隐患,主要测试区域如下。
    l        注册与登陆:现在的Web应用系统基本采用先注册,后登录的方式。
    A.        必须测试有效和无效的用户名和密码
    B.        要注意是否存在大小写敏感,
    C.        可以尝试多少次的限制
    D.        是否可以不登录而直接浏览某个页面等。
    l        在线超时:Web应用系统是否有超时的限制,也就是说,用户登陆一定时间内(例如15分钟)没有点击任何页面,是否需要重新登陆才能正常使用。
    l        操作留痕:为了保证Web应用系统的安全性,日志文件是至关重要的。需要测试相关信息是否写进入了日志文件,是否可追踪。
    l        备份与恢复:为了防范系统的意外崩溃造成的数据丢失,备份与恢复手段是一个Web系统的必备功能。备份与恢复根据Web系统对安全性的要求可以采用多种手段,如数据库增量备份、数据库完全备份、系统完全备份等。出于更高的安全性要求,某些实时系统经常会采用双机热备或多级热备。除了对于这些备份与恢复方式进行验证测试以外,还要评估这种备份与恢复方式是否满足Web系统的安全性需求。
    传输级的安全测试是考虑到Web系统的传输的特殊性,重点测试数据经客户端传送到服务器端可能存在的安全漏洞,以及服务器防范非法访问的能力。一般测试项目包括以下几个方面。
    l        HTTPS和SSL测试:默认的情况下,安全HTTP(Soure HTTP)通过安全套接字SSL(Source Socket Layer)协议在端口443上使用普通的HTTP。HTTPS使用的公共密钥的加密长度决定的HTTPS的安全级别,但从某种意义上来说,安全性的保证是以损失性能为代价的。除了还要测试加密是否正确,检查信息的完整性和确认HTTPS的安全级别外,还要注意在此安全级别下,其性能是否达到要求。
    l        服务器端的脚本漏洞检查:存在于服务器端的脚本常常构成安全漏洞,这些漏洞又往往被黑客利用。所以,还要测试没有经过授权,就不能在服务器端放置和编辑脚本的问题。
    l        防火墙测试:防火墙是一种主要用于防护非法访问的路由器,在Web系统中是很常用的一种安全系统。防火墙测试是一个很大很专业的课题。这里所涉及的只是对防火墙功能、设置进行测试,以判断本Web系统的安全需求。

    另推荐安全性测试工具:
    Watchfire AppScan:商业网页漏洞扫描器(此工具好像被IBM收购了,所以推荐在第一位)
    AppScan按照应用程序开发生命周期进行安全测试,早在开发阶段就进行单元测试和安全保证。Appscan能够扫描多种常见漏洞,例如跨网站脚本、HTTP应答切开、参数篡改、隐藏值篡改、后门/调试选项和缓冲区溢出等等。


    Acunetix Web Vulnerability Scanner:商业漏洞扫描器(目前用的比较多,不过这东东N占内存)
    Acunetix WVS自动检查您的网页程序漏洞,例如SQL注入、跨网站脚本和验证页面弱密码破解。Acunetix WVS有着非常友好的用户界面,还可以生成个性化的网站安全评估报告。

    另附我以前在51testing上发过“Yeepay网站安全测试漏洞之跨站脚本注入
    http://bbs.51testing.com/thread-113784-1-1.html
    Sql注入和跨站脚本这种漏洞比较常见,另在支付宝网站注册页面也存在跨站脚本情况,希望能早点发现^_^

    [ 本帖最后由 卖烧烤的鱼 于 2008-5-23 15:18 编辑 ]
  • [原创]如何有效的考核测试人员

    2008-06-26 16:33:30

    [原创]如何有效的考核测试人员

        当前国内很多公司对测试存在普通的认识不足,经常听到许多公司拿Bug的数量来考核测试人员的唯一方法,哪么我要说“测试人员的考核不是仅仅看Bug的!"
       
        如何有效的考核测试人员?好的考核能激励测试人员,提高工作效率;相反“不公正”的考核,则会降低工作效率,引起测试人员的不满!本文作者以实际的测试管理工作经验
    结合当前公司的特点制定了以下措施,相信肯定有很多测试人员会产生共鸣!
      

    1 工作态度
      通常由“协作性”,“积分性”“责任心”三部分组成,每部分为4档:优秀,良好,合格,差

    2 对公司产品业务流程了解程度
      通常分为4档:精通,熟悉,了解,不清晰

    3 测试技术(手工+自动化)
      通常分类“手工测试”和“自动化测试”,其中两个大类又细分技术难度为:难,一般,容易

    4 依据不同职位考核
      通常初级,中级,高级,测试组长等是依据职位的定义性质不同来考核,每个职位等级分为"优秀",“良好”,"合格","差":
      如初级测试工程师重点考查“Bug”的数量和严重性,用例的编写覆盖,Bug Report的规范性等
     
    5 测试文档
      编写用例个数/修改用例个数,测试用例覆盖度,新增用例个数,用例的难度
      编写测试报告的质量,通常分为"优秀",“良好”,“合格”,“差”几等

    6 Bug数据
      通常用发现Bug的(数量,有效和无效,发现/解决比率,运营/测试环境数据评比)

    7 测试是否尊守流程
      通常分为(优,良,合格,差)

    8 团队贡献
      通常这项做为激励大家,如XXX人兄给大家培训“httpwatch工具”,依据培训效果分为"优秀",“良好”,“合格”,分别对应相应的分值。
      如小马哥给部门建议XXX项目需求评审Checklist.doc,这些均可
    以上仅仅是考核的几个大的方面,当然在实施具体考核过程中,还需结合公司具体的要求!  

    http://www.cnblogs.com/mayingbao/archive/2006/11/26/572954.html?updated=1

  • [论坛] [原创]如何寻找软件测试职位

    2008-06-24 09:34:36

    [原创]如何寻找软件测试职位

    在哪里能找到自己想要的软件测试职位,这段时间许多朋友加我QQ和MSN问我,以下是我总结的,希望能给大家带来一点小帮助^_^

    校园招聘。中国互联网这几年迅猛发展,一些在华的大型公司,如国外的微软, IBM ,HP等;还有国内的华为,中兴,腾讯等大型公司对人才的需求也是不断地增长,不断加大对毕业生招聘培养的投入力度,储备人才,引发的人才抢夺战大家有目共睹,软件测试这个近几年才火开的行业当然也不例外,如果你能成功通过校园招聘,很不错,不错的待遇,而且能得到相应的培训,对于一个走上社会的大学毕业生来说,很不错的!

    使用网络”工作搜索引擎”。利用几个工作搜索引擎进行快速可以方便查找一些空缺的软件测试职位,如”职友集--搜索工作 互动职业”,网站是http://www.jobui.com, 其中可以搜索到很多软件测试职位,再介绍一个给大家吧,我可没一点私心保留的,“职通车”http://so.01hr.com,也是非常不错的,而且这个网站还有个加msn机器人似的列出职位的,方便,一个字赞!

    查阅报纸和杂志。大多数大城市的报纸每周招聘版中或者计算机招聘报刊中列出一些软件测试工作。还有一些计算机和编程杂志也是找到好工作最佳途径之一,如 《CSDN人才周刊》,《电脑报》,《程序员》等,现在还发展到有一些免费的电子报纸和杂志上都有一些软件测试职位,真可谓是五花八门呀!

    电话咨询。如果你够机警,头脑灵活,对软件测试很有领域很感兴趣,找到一些相关公司的网站和联系方式,电话联系并寄出个人简历,那里一般有未放在招聘广告的空缺软件测试职位,我相信机智的测试员能够在别人明白过来之前捕捉到这些机会,相信机遇会永远善待那些有准备的人!



    暑假和寒假实习寻找机会。如果在大学就读期间,能在一家软件公司做兼职测试工作,也就获得经验,对公司做出的一点贡献,如果工作很努力,还是很容易能拿到一份全职的软件测试工作。

    从事临时(兼职)工作。虽然这份工作只有几个月,也许还不到一个月,但是从中可以获得有价值的经验,每次工作都会碰到一些新的问题,测试员喜欢这种工作方式,可以在同这个公司的测试人员增加交流,相信你一定能取得意想不到的收获!

    “敢做吃螃蟹第一人”。大胆尝试,亲身体验,目标定位几家心意的公司,然后对XX公司的产品,整理一份测试计划,设计测试用例,寻找软件缺陷-使用电子表格记下发现的软件缺陷,然后通过邮件方式,寄送出去,让其公司的负责人看到你的能力,获得意外的工作机会!

    通过正规的培训。获得软件测试职位,目前国内我这个人认为做的比较好的有 上海51testing软件测试网:www.51testing.com 和 中国软件测试基地:www.cntesting.com,两家培训机构都提供学员推荐,以给众多进入软件测试行业的人,通过软件测试培训找到了自己的职位,一个字做的好!                                                                                                            



    通过招聘网站。网上求职越来越流行,对于做IT行业的来讲,以成为求职的主要途径,我推荐以下几个招聘网站:

    中国人才热线:www.cjol.com
    前程无忧:www.51job.com
    中华英才网: www.chinahr.com
    智联招聘网:www.zhaopin.com/
    希望大家能多多利用以上的招聘网站,广撒网,多收获:)

    通过朋友介绍。一些大型软件公司,如华为,中兴,腾讯等知名公司,内部都相应有一些内部推荐机制,推荐成功一个员工,推荐人能获得一些奖金,有的公司内部把这种奖称为”伯乐奖”,相比之下如果你有幸去那个公司工作,也就是传说中的”千里马”,可是人才耶!和其它找到软件测试工作就职相比,通过朋友介绍机率会更大点!

    通过人才市场或职业介绍所寻找工作。一定要找正规的人才市场和职业介绍中心,通常情况下人才大市场每周从周一到周六开放,如果是找工作黄金时间,如人们通常说的“金3银10”招聘会从每周的周一到周日都会开放,而且还有免费的专职招聘会,如面向计算机类,通讯类,人事类,企业工厂的,这下可以剩下一笔小的费用的,节俭中国的传统美德!

    原文出自我的blog:http://www.cnblogs.com/mayingbao/archive/2006/11/16/562950.html
    分享给大家,希望对大家能有一点点小帮助!
  • [论坛] [原创]Web测试常用辅助测试工具介绍

    2008-06-24 09:34:17

    以前做电子商务和电子支付测试时,常用到的Web测试辅助工具,希望对大家有所帮助
    1 Xenu Link Sleuth
    “Xenu链接检测侦探”是被广泛使用的死链接检测工具。可以检测到网页中的普通链接、图片、框架、插件、背景、样式表、脚本和java 程序中的链接。该工具需要下载安装,不能在线检测,总体上具有以下特色:
      简单的用户界面
      重新检查死链接功能(避免有的死链接属于暂时性无效)
      报告格式简单,可通过Email报告
      可执行文件小于1M
      支持SSL网站(https://)
      侦测到重定向URL
      制作网站地图

    http://home.snafu.de/tilman/xenulink.html

    2 免费在线链接检查工具
    http://validator.w3.org/checklink
    W3C Link Checker
    来源:卖烧烤的鱼的测试博客: http://www.cnblogs.com/mayingbao/archive/2007/03/09/668869.html

    3 Web测试辅助工具之微软Internet Explorer Developer Toolbar
    简介:主要是基于IE下的一个插件,提供的功能如下:

    浏览和修改Web页的文档对象模型(DOM)。
    通过多种技术方式定位、选定Web页上的特定元素。
    禁止或激活IE设置。
    查看HTML对象的类名、ID,以及类似链接路径、tab顺序、快捷键等细节。
    描绘表格、单元格、图片或选定标签的轮廓。
    显示图片象素、大小、路径、替代文字等。
    即时重定义浏览器窗口大小到800x600或自定义大小。
    清空浏览器缓存和cookie,被清除项可从所有对象或给定域中选择。
    直接访问关联W3C规范参考、IE开发组blog或其他来源。
    显示设计时标尺,帮助对齐对象。
    Overview

    The Internet Explorer Developer Toolbar provides several features for exploring and understanding Web pages. These features enable you to:



    Explore and modify the document object model (DOM) of a Web page.
    Locate and select specific elements on a Web page through a variety of techniques.
    Selectively disable Internet Explorer settings.
    View HTML object class names, ID's, and details such as link paths, tab index values, and access keys.
    Outline tables, table cells, images, or selected tags.
    Validate HTML, CSS, WAI, and RSS web feed links.
    Display image dimensions, file sizes, path information, and alternate (ALT) text.
    Immediately resize the browser window to a new resolution.
    Selectively clear the browser cache and saved cookies. Choose from all objects or those associated with a given domain.
    Display a fully featured design ruler to help accurately align and measure objects on your pages.
    Find the style rules used to set specific style values on an element.
    View the formatted and syntax colored source of HTML and CSS.

    The Developer Toolbar can be pinned to the Internet Explorer browser window or floated separately.

    Your feedback is greatly appreciated. Please visit the IE Web Development Forum on MSDN to enter bug reports, comments, and suggestions.

    来源:卖烧烤的鱼的测试博客:http://www.cnblogs.com/mayingbao/archive/2007/06/16/785763.html

    4 Web测试辅助工具之Mozilla Firefox插件

    1 Web Developer
    2FireBug
    3 View Cookies或 Add & Edit Cookies,
    4 Live HTTP Headers
    5 Aardvark
    6 其它工具,点击这,Mozilla Firefox官方下载

    备注:https://addons.mozilla.org/en-US/firefox/recommended

    来源:卖烧烤的鱼的测试博客:http://www.cnblogs.com/mayingbao/archive/2006/04/25/384168.html

    5 HttpWatch工具简介及使用技巧
      
    HttpWatch强大的网页数据分析工具.集成在Internet Explorer工具栏.包括网页摘要.Cookies管理.缓存管理.消息头发送/接受.字符查询.POST 数据和目录管理功能.报告输出 HttpWatch 是一款能够收集并显示页页深层信息的软件。它不用代理服务器或一些复杂的网络监控工具,就能够在显示网页同时显示网页请求和回应的日志信息。甚至可以显示浏览器缓存和IE之间的交换信息。集成在Internet Explorer工具栏。

    下载地址:http://www.httpwatch.com/
    说明:此工具使用技巧,属于自己写的内部文档,目前已修改,可以在下面链接找到^_^
    来源:卖烧烤的鱼的测试博客:http://www.cnblogs.com/mayingbao/archive/2007/11/30/978530.html

    [ 本帖最后由 卖烧烤的鱼 于 2008-6-13 15:19 编辑 ]
  • [论坛] [原创]Yeepay网站安全测试漏洞之跨站脚本注入

    2008-06-24 09:33:58Digest 1

    1 什么是跨站脚本注入
    跨站脚本攻击(也称为XSS)指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时,通常会点击其中的链接。攻击者通过在链接中插入恶意代码,就能够盗取用户信息。攻击者通常会用十六进制(或其他编码方式)将链接编码,以免用户怀疑它的合法性。网站在接收到包含恶意代码的请求之后会产成一个包含恶意代码的页面,而这个页面看起来就像是那个网站应当生成的合法页面一样。许多流行的留言本和论坛程序允许用户发表包含HTML和javascrīpt的帖子。假设用户甲发表了一篇包含恶意脚本的帖子,那么用户乙在浏览这篇帖子时,恶意脚本就会执行,盗取用户乙的session信息

    2 本文作者以Yeepay网站为例,测试过程中发现存在跨站脚本注入情况:
    在浏览器打开 http://www.yeepay.com/search/sea ... com&searchtext=>><ScRd>alert(88888888.8888888)%3B</scrīpt>弹出如下对话框:


    如果恶意用户针对js弹出对话框设置其它数据,会存在用户跳转到其它网站,轻则用户的信息被盗取,重则Yeepay的用户资金可以会丢失,为防止有人利用,所以本文作者将具体的跨站脚本攻击脚本做了修改^_^
    Yeepay网站存在类似的漏洞,经本文作者验证还有如下接口:

    http://www.yeepay.com/brightangel/jsp/queryAngleOrder.action
    http://www.yeepay.com/brightangel/queryAngleOrder.action
    http://www.yeepay.com/individualservice/Regist.action
    http://www.yeepay.com/mlove/QueryDonateOrderAction.action
    http://www.yeepay.com/search/search.jsp
    http://www.yeepay.com/selfservice/regist.action

    希望早点能解决,呵呵^_^

    原文出自:卖烧烤的鱼的测试博客:http://mayingbao.cnblogs.com

    [ 本帖最后由 卖烧烤的鱼 于 2008-5-5 11:52 编辑 ]

    security.gif
  • [论坛] [原创]网银在线chinabank安全漏洞之不完善的开发软件包

    2008-06-24 09:33:38Digest 1

    [原创]网银在线chinabank安全漏洞之不完善的开发软件包
    http://www.chinabank.com.cn/index/index.shtml

    题外话:最新在新公司上班,规划整个测试团队和流程建设,由于公司采用outlook2003做为内部沟通交流,非常计厌outlook垃圾邮件过滤功能,每天垃圾邮件近1000以上,后来上官方打了补丁才解决了此问题;话说到这,网站安全性测试也可能存在类似的问题,所以就有了此文:

    网站安全性测试,尤为重要,本文作者上篇以实例介绍了“Yeepay网站安全测试漏洞之跨站脚本注入”,以下为具体的地址:
    详细地址:http://bbs.51testing.com/thread-113784-1-1.html
    或是:卖烧烤的鱼的测试博客: http://mayingbao.cnblogs.com,访问此可以了解更多软件测试,安全性测试,性能测试,自动化测试,测试管理等知识!

    今天我要说的是另一种安全性测试,“不完善的开发软件包”,通俗讲就是软件版本过低,存在自身的安全漏洞,但是项目采用了此类型的软件,以下用“网银在线chinabank”
    http://www.chinabank.com.cn/index/index.shtml   来说明此问题:
    经本文作者验证,网银在线的软件开发包采用存在问题的是:
    PHP/4.4.2   此版本存在Possible code execution, SQL injection, ...
    Apache/2.0.58 官方提供此版本存在An attacker may exploit this issue to trigger a denial-of-service condition. Reportedly, arbitrary code execution may also be possible.

    经本文作者验证,网银在线还存在一些其它漏洞如下:
    无效的链接:•        /gateway/about_us/2006/20060225.shtml
    •        /gateway/about_us/company/news/2006/2006/20061116.shtml
    •        /gateway/about_us/company/news/2007/jinbihe/scrīpts/AC_RunActiveContent.js
    •        /gateway/css/index.css
    •        /gateway/gateway/link.shtml
    •        /gateway/gtime/200803month/2008-3-19.html
    •        /gateway/international/demo.shtml
    •        /gateway/international/demo_1.shtml
    •        /gateway/register/index.shtml
    •        /gateway/rmb_card/cardtype.shtml
    •        /gateway/security.shtml
    •        /mall/lipin.asp (GET ProID=LP01)
    •        /mall/lipin.asp (GET ProID=LP02)
    •        /mall/lipin.asp (GET ProID=LP03)
    •        /wuyouxing.jsp (GET v_mid=1509)    //具体不清这些以前是做什么用的,如果是方便运营上线测试的,应当删除掉
    希望其网站可以早些时间发现,电子支付安全性非常重要,且勿留下漏洞^_^
  • [论坛] [原创] 支付宝alipay网站安全性测试漏洞之“无辜的备份文件”

    2008-06-24 09:33:20Digest 1

    [原创] 支付宝alipay网站安全性测试漏洞之“无辜的备份文件”

    网站安全性测试,尤为重要,电子支付网站更是如此,本文作者以实例介绍了
    (1)“Yeepay网站安全测试漏洞之跨站脚本注入”,原文地址:http://bbs.51testing.com/thread-113784-1-1.html
    (2) “网银在线chinabank安全漏洞之不完善的开发软件包”,原文地址: http://bbs.51testing.com/thread-116660-1-1.html
    如果你想了解更多软件测试,安全性测试,性能测试,自动化测试,测试管理等知识!欢迎访问我的Blog:卖烧烤的鱼的测试博客: http://mayingbao.cnblogs.com

    今天要介绍的是“无辜的备份文件“,经常备份文件是件好事,但是如果在安全性要求很高的行业中,需要特别重视,备份文件通常是包含脚本的来源,配置文件或其他敏感的信息可以帮助一个恶意用户编写更先进的攻击。
    以下请看支付宝电子支付网站一个特例:访问https://www.alipay.com/static/teach/Copy of index.htm,你发现了什么,是不是如下图所示:

    alipay.gif
  • [论坛] [原创]支付宝alipay网站安全性测试漏洞之“跨站脚本注入攻击”

    2008-06-24 09:32:52Digest 1

    [原创] 支付宝alipay网站安全性测试漏洞之“跨站脚本注入攻击”

    网站安全性测试,尤为重要,电子支付网站更是如此,本文作者以实例介绍了
    (1)“Yeepay网站安全测试漏洞之跨站脚本注入”,原文地址:http://bbs.51testing.com/thread-113784-1-1.html
    (2)“网银在线chinabank安全漏洞之不完善的开发软件包”,原文地址: http://bbs.51testing.com/thread-116660-1-1.html
    (3)“支付宝alipay网站安全性测试漏洞之“无辜的备份文件”,原文地址:http://bbs.51testing.com/thread-116821-1-1.html
    如果你想了解更多软件测试,安全性测试,性能测试,自动化测试,测试管理等知识!欢迎访问我的Blog:卖烧烤的鱼的测试博客: http://mayingbao.cnblogs.com

    今天要继续介绍的是跨站式脚本注入,以支付字www.alipay.com网站为例:
    经本文作者验证“支付宝”此页面存在“跨站脚本注入攻击”,忘记密码页面:https://www.alipay.com/user/forget_password.htm?
    好些朋友给我说脚本修改后,他们看不懂,所以以后的安全性测试例子,脚本将全盘放出,请不要乱用,免的伤了花花草草^_^

    在浏览器下访问如下:https://www.alipay.com/user/forg ... ng&_fmu.f._0.p="></STYLE><STYLE>@import"javascrīpt:alert('卖烧烤的鱼到此一游')";</STYLE>&_fmu.f._0.e=我是卖烧烤的鱼


    还没搞懂51testing这个论坛怎么将上传的图片删除,所以显示很乱,请见谅

    [ 本帖最后由 卖烧烤的鱼 于 2008-6-11 13:58 编辑 ]

    alifao2.gif

    alifao.gif

    alipay_reg02.gif

    alipay_reg_sql.gif

    alifao.gif
  • [论坛] [原创]银联电子支付chinapay安全性测试漏洞之“不安全的目录设置”

    2008-06-24 09:32:11

    [原创]银联电子支付chinapay安全性测试漏洞之“不安全的目录设置”
    网站安全性测试,尤为重要,电子支付网站更是如此,本文作者以实例介绍了
    (1)“Yeepay网站安全测试漏洞之跨站脚本注入”,原文地址:http://bbs.51testing.com/thread-113784-1-1.html
    (2)“网银在线chinabank安全漏洞之不完善的开发软件包”,原文地址: http://bbs.51testing.com/thread-116660-1-1.html
    (3)“支付宝alipay网站安全性测试漏洞之“无辜的备份文件”,原文地址:http://bbs.51testing.com/thread-116821-1-1.html
    (4)“支付宝alipay网站安全性测试漏洞之“跨站脚本注入式攻击”,原文地址:http://bbs.51testing.com/thread-116826-1-1.html
    (5)“快钱99bill网站安全性测试漏洞之“跨站式脚本注入”,原文地址:http://bbs.51testing.com/thread-116883-1-1.html
    如果你想了解更多软件测试,安全性测试,性能测试,自动化测试,测试管理等知识!欢迎访问我的Blog:卖烧烤的鱼的测试博客: http://mayingbao.cnblogs.com
    今天要介绍的是“不安全的目录设置”,Web安全性第一步即就是“目录的安全性设置”,但是本文作者发现“银联电子支付chinapay”存在此漏洞!
    如下面链接:http://www.chinapay.com/icons/
              http://www.chinapay.com/icons/small/ 如下图所示:

    虽然是图片,但是也不能掉以轻心,如果是源代码存在此问题,哪就惨大了!,希望此公司多多重视检查哦^_^

    chinapay1.gif
241/212>
Open Toolbar