程序人生—谈安全测试的重要性_安全测试只要经过了这些检查,就必然没有这样的问题。

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新软件测试全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上软件测试知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip1024b （备注软件测试）

正文

2.1 权限

网站一般都规定了什么样的用户可以做什么事。比如版主可以修改所有人的帖子，而你普通用户只能编辑自己的帖子，同样游客只能看大家的帖子。这就是简单的权限。如果少了安全性保证，那么就容易有人跳出权限做他不该做的事情。

2.2 修改提交数据信息

比如一个支付商城，如果通过抓包抓到的提交价格，经过修改再发包可以通过。简单来说就是本来100块钱买的东西，抓包修改为1块就能成功购买。这就成为了一个巨大的隐患。

2.3 类似跨站脚本的安全隐患

• HTML注入。所有HTML注入范例只是注入一个JavaScript弹出式的警告框：alert(1)。
• 做坏事。如果您觉得警告框还不够刺激，当受害者点击了一个被注入了HTML代码的页面链接时攻击者能作的各种的恶意事情。
• 诱捕受害者，可能会redirect到另一个钓鱼的其他网站之类的，使其蒙受损失。

2.4 敏感词的校验

比如一个政府部门的一个网站或者app，里边可以输入一些有违目前制度以及一些领导人的词汇的问题，这样的影响是非常大的，所以我们要避免这些影响的发生。

3 如何来做安全测试

安全测试是在IT软件产品的生命周期中，特别是产品开发基本完成到发布阶段，对产品进行检验以验证产品符合安全需求定义和产品质量标准的过程，可以说，安全测试贯穿于软件的整个生命周期。下面通过一张图描述软件生命周期各个阶段的安全测试，如下图所示。

上图中的风险分析、静态分析、渗透测试都属于安全测试的范畴，与普通测试相比，安全测试需要转换视角，改变测试中模拟的对象。下面从以下维度比较常规测试与安全测试的不同。

3.1 测试目标不同

普通测试以发现Bug为目标;安全测试以发现安全隐患为目标。

3.2 假设条件不同

普通测试假设导致问题的数据是用户不小心造成的，接口一般只考虑用户界面;安全测试假设导致问题的数据是攻击者处心积虑构造的，需要考虑所有可能的攻击途径。

3.3 思考域不同

普通测试以系统所具有的功能为思考域;安全测试的思考域不但包括系统的功能，还有系统的机制、外部环境、应用和数据自身安全风险与安全属性等。

3.4 问题发现模式不同

普通测试以违反功能定义为判断依据;安全测试以违反权限与能力的约束为判断依据。

4 工作中的总结

4.1 敏感词校验

步骤：

• 对小程序、h5、官网带输入框的进行敏感词输入、搜索。

小程序校验：

官网校验：

• 验证是否对敏感词有拦截，如有拦截则正常，如不能拦截则存在安全问题。

4.2 明文传输

对系统传输过程中的敏感内容是明文&密文进行检查，设计到的模块：登录、支付、注册的手机号、身份证、邮箱。

步骤：

• 对传输敏感信息场景进行抓包。
• 分析其数据包中的相关敏感字段是否为明文。

例如接口中手机号、座机号、姓名都是明文：

4.3 越权访问

测试是否可以通过url直接获取管理员和其他用户信息。

步骤：

• 查看url中是否存在admin/user/system/pwd等敏感目录。
• 当系统存在多个不同权限的管理员时，看低权限的管理员能不能访问到高权限的管理的资源。
• 当系统存在多个需要登录用户，用A用户进行登录，记录所浏览的个人资源的url和修改删除的操作；退出A用户后，登录B用户，使用所记录的url来直接访问，看是否可以访问成功或者操作成功。

4.4 非法注入

测试系统是否对输入进行过滤和转移，设计到的模块：搜索框、输入框、备注信息、上传文件、URL、输入框、备注信息。

步骤：

• 在系统的URL地址后面，输入测试语句： ；看是否会有弹框展示。
• 在搜索框、输入框、备注信息中输入测试语句： ；看是否会有弹框展示。
• 官网校验如图：

4.4.1 上传文件

步骤：

• 在上传的文件中输入： ，文件名为 test。
• 点击上传，查看上传接口，将上传的文件名改为html文件，然后访问该文件，如可以访问则存在问题，如不能访问则正常。

4.4.2 文件下载

步骤：

• 点击文件下载，查看文件下载接口并进行记录。
• 修改文件下载接口，例如
  xxxxx下载接口/…/对路径进行跳转尝试下载其他目录下的文件，看是否可以正常下载，如可以下载则存在问题，如果不能下载则正常。

4.5 短信、邮箱验证

涉及到的模块：触发短信、邮箱验证码的相关场景。

步骤：

• 操作密码找回、获取验证码获取功能，记录该获取接口。
• 频繁调用密码找回、验证验证码接口，看是否存在拦截，以防短信被刷。
• 查看验证码接口，看是否可以通过接口截取到验证码信息。
• 如下京东快递h5，短信防刷如图所示：

4.6 密码健壮性

测试密码、验证码验证方式是否可靠，是否可以被暴力猜测直到命中。

步骤：

• 登录是接入公司的统一登录passport，可忽略。
• 验证码的场景，使用抓包工具，修改接口中的密码、验证码，多次尝试输入错误的验证码，如果没有输入次数上限可以暴力猜测直到命中，则存在漏洞。

4.7 数据安全

检测系统中敏感数据的存储是否安全。

步骤：

• 检查敏感数据是否加密存储，检查对应的数据库表，防止拖库后信息泄露。
• 检查敏感数据在操作界面是否进行了脱敏操作，例如：密码的显示隐藏选项、手机号、身份证号的展示等。
• 检查数据设置是否安全，检查在输入设计钱财的边界值，是否可以输入符合和是否超过最大的数额。
• 定期检测数据库中敏感数据是否做了脱敏处理：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip1024b （备注软件测试）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

需要这份系统化的资料的朋友，可以添加V获取：vip1024b （备注软件测试）
[外链图片转存中…(img-JqAWseXw-1713235923696)]

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！