安全测试工作规范文档，希望能帮到大家

目录

安全测试工作规范

目录

 概述

背景简介

Web安全测试方法

Appscan工具介绍

总结

---

安全测试工作规范

目录

 

 

 概述

背景简介

为了规避安全风险、规范代码的安全开发，以及如何系统的进行安全性测试，目前缺少相应的理论和方法支撑。为此，我们制定《安全测试规范》，本规范可让测试人员针对常见安全漏洞或攻击方式，系统的对被测系统进行快速安全性测试。

适用读者

本规范的读者及使用对象主要为测试人员、开发人员等。

适用范围

本规范主要针对基于通用服务器的Web应用系统为例，其他系统也可以参考。如下图例说明了一种典型的基于通用服务器的Web应用系统：

       

 

本规范中的方法以攻击性测试为主。除了覆盖业界常见的Web安全测试方法以外，也借鉴了一些业界最佳安全实践。

Web安全测试方法

安全功能验证

功能验证是采用软件测试当中的黑盒测试方法，对涉及安全的软件功能，如：用户管理模块，权限管理模块，加密系统，认证系统等进行测试，主要验证上述功能是否有效，不存在安全漏洞，具体方法可使用黑盒测试方法。

漏洞扫描

漏洞扫描是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测（渗透攻击）行为。

漏洞扫描技术是一类重要的网络安全技术。它和防火墙、入侵检测系统互相配合，能够有效提高网络的安全性。通过对网络的扫描，网络管理员能了解网络的安全设置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。网络管理员能根据扫描的结果更正网络安全漏洞和系统中的错误设置，在黑客攻击前进行防范。如果说防火墙和网络监视系统是被动的防御手段，那么安全扫描就是一种主动的防范措施，能有效避免黑客攻击行为，做到防患于未然。

​​​​​​​模拟攻击实验

模拟攻击测试是一组特殊的黑盒测试案例，以模拟攻击来验证软件或信息系统的安全防护能力，可使用冒充、重演、消息篡改、服务拒绝等方法来实现。

​​​​​​​侦听技术

在数据通信或数据交互过程，对数据进行截取分析的过程。目前最为流行的是网络数据包的捕获技术。

Appscan工具介绍

Appscan扫描工具只能检测到部分常见的漏洞（如跨站脚本、SQL注入等），不是针对用户代码的，也就是说不能理解业务逻辑，无法对这些漏洞做进一步业务上的判断。往往最严重的安全问题并不是常见的漏洞，而是通过这些漏洞针对业务逻辑和应用的攻击。

Web目前分为“应用”和“Web服务”两部分。应用指通常意义上的Web应用，而Web 服务是一种面向服务的架构的技术，通过标准的Web协议（如HTTP、XML、SOAP、WSDL）提供服务。

​​​​​​​AppScan工作原理

AppScan工作原理：

1、通过搜索(爬行)发现整个 Web 应用结构。

2、根据分析，发送修改的 HTTP Request 进行攻击尝试(扫描规则库)。

3、通过对于 Respond 的分析验证是否存在安全漏洞。

所以，AppScan 的核心是提供一个扫描规则库，然后利用自动化的“探索”技术得到众多的页面和页面参数，进而对这些页面和页面参数进行安全性测试。“扫描规则库”，“探索”，“测试”就构成了 AppScan 的核心三要素。

总结

安全测试工作规范文档完整版有30多页，这里篇幅限制展现不完，先给大家看个目录及大概，有需要的可以来找我。我还有各种软件测试报告模板，测试流程、测试计划、简历模板及面试题等，可以点击文章下方名片找我领取，希望可以帮大家。