安全测试概述

一般来说，版本功能测试完成，对应的用例也实现了自动化，性能、兼容、稳定性测试也完成了以后，我们就需要考虑到系统的安全问题，特别是涉及到交易、支付、用户账户信息的模块，安全漏洞会带来极高的风险。

一．安全测试原则与常见的安全威胁：

1.安全需求：

※认证:对认证的用户的请求返回

※访问控制：对未认证的用户的权限控制和数据保护

※完整性：用户必须准确的收到服务器发送的信息

※机密性：信息必须准确的传递给预期的用户

※可靠性：失败的频率是多少？网络从失败中恢复需要多长时间？采取什么措施来应对灾难性的失败？（个人理解这个地方应该更偏向于容错容灾测试的范畴）

※不可抵赖：用户应该能证明接收到的数据来自特定的服务器

2.常见的安全测试内容

权限控制

SQL注入

URL安全测试

XSS（跨站脚本攻击）

CSRF（跨站请求伪造）

URL跳转漏洞

其他安全方面的考量

接下来，我们以一个C#实现的下常见的MVC架构网站为例，来分析具体的各个安全测试角度。

二.权限控制

权限控制相对来说比较简单，功能测试的过程中也接触过不少，主要就是考虑以下方面：

1.用户权限：我们假设存在两个用户A,B；其中A的权限级别很高，B的权限级别则很低：

只有A能进行的操作，B能不能进行操作；

只有A能看到的页面，B能不能看到；

2.页面权限：

必须登录才能看到的页面，不登录直接访问能否看到？

必须A-B-C的页面，能否直接A-C？

通常来说单纯的权限控制页面测试不复杂，但是因为权限控制和后续的URL跳转、Session等方面结合的比较紧密，所以单独提出来。

三. URL跳转漏洞

1.实现原理：

服务端未对传入的跳转URL变量进行检查和控制，可能导致可恶意构造任意一个恶意地址，诱导用户跳转到恶意网站。

一般来说，URL跳转的测试方法为修改参数中的合法URL为非法URL，然后查看是否能正常跳转或者响应包是否包含了任意的构造URL。

2.测试方法：

修改参数中的合法URL为非法URL，然后查看是否能正常跳转或者响应包是否包含了任意的构造URL 

 

四.其他安全角度的考量

1.安装包测试：对C/S端的程序，安装包主要考虑反编译、签名、完整性、权限等

2.数据库：对于数据库中的敏感字段，如用户名、密码等应该进行加密处理后再存储；Cookie等敏感信息也要考虑设置过期时间等；

3.日志、配置文件中尽量不要包含敏感信息

4.账户安全：数据库中的密码加密存储，传输的密码加密，密码多次输入错误后进行锁定，多设备登录的处理、注销后的身份验证等

5.结合实际版本需要的考量：比如一款电商APP，提交订单接口时传入了订单信息和订单总金额，支付接口根据提交订单接口传入的总金额进行支付；问题在于支付接口完全信任了订单金额没有做验证，那么可以直接调用订单接口伪造金额从而以便宜的价格购物。

网络安全学习资源分享:

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享 (qq.com)

同时每个成长路线对应的板块都有配套的视频提供：

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享 (qq.com)

因篇幅有限，仅展示部分资料，需要点击上方链接即可获取