http://bbs.51testing.com/thread-1000310-2-1.html本帖最后由 jacksonren1987 于 2014-1-7 09:54 编辑 回复 [url=http://bbs.51testing.com/redirect.php?goto=;findpost&pid=3218151&ptid=1000310]7#[/url] 黑羽祭 问题很好~~我按顺序回复吧O(∩_∩)O: 1. 谈到从无到有,最重要的就是无的阶段。首先要让公司、开发部分认识到安全对于一个系统的价值,例如我们抓一个XSS漏洞,截获到用户的cookie;或者我们从服务器端日志分析出系统曾遭受了哪些安全攻击,并对此进行针对性建议。将这些问题在部门会议、冲刺 (sprint) 计划会议等重要会议上提出,很快就可以被接受,因为当前安全问题的确是重大问题,如果你有这个能力,公司自然愿意放手让你去做。 其次再说安全团队的建设,其实和其他测试团队一样,我们需要不同技术能力、不同特色的人组成一支精锐部队,来应对安全难题。大体上可以分为先验团队和监控团队。先验团队中包括系统安全架构设计(安全分析、策略设计)、安全用例设计、安全测试执行等角色;监控团队则更多对服务器日志、蜜罐日志、服务器状况进行监控。当然,小型团队中一人可兼任多职位。 2. 如何做好日常安全工作和工具 安全可能跟其他测试不是特别一样,用我常说的就是“要知其然,还要知其所以然”,大部分开发人员可能并不了解一些安全漏洞,所以很多时候你提出的问题开发团队无法给出很好的回复。这时候可能需要我们去“教”开发人员写代码。一个好的安全人员需要了解原理、熟悉测试手段、熟悉防范措施,然后按照合理的安全测试流程去工作。具体的流程可以参考我写的这篇文章http://www.besttest.cn/的自学手册中“安全测试自学路线”。 至于工具,手工测试我比较推荐burpsuite,辅助一些专用软件 sqlmap,csrftester等 3. 需要关注的测试点 在最早的安全测试中,对于一个网站,最重要的安全点应该是登录模块和支付模块的安全性。举个例子,登录模块可能包含的安全漏洞点很多:权限验证缺陷、登录机制缺陷、多阶段登录漏洞、sql注入、xss漏洞、绕过前端、会话管理机制漏洞等等,这在我之前一个公开课的视频中有所讲解,暂且把它放在这儿吧,大家有兴趣可以看下:http://v.youku.com/v_show/id_XNjQ5NTg2MzU2.html 4. 比较常见的漏洞 $username=$_POST['username']; $userpass=$_POST['userpass']; $sql="select * from user where username='$username' and userpass='$userpass'"; $query=mysql_query($sql); $arr=mysql_fetch_array($query); 复制代码 这是一个简单的sql注入代码,大家很容易就可以看出问题的 [你问我来答第28期]:外包项目的验收流程 TOP jacksonren1987 中级站友 个人空间 27# 发表于 2014-1-6 16:33 | 只看该作者 回复 8# 如小果 Web安全测试主要是针对网站分析所制定的安全策略进行安全监测,包含的可能是多方面的,例如:绕过客户端、验证机制、会话管理、sql注入、XSS、CSRF,甚至包括社会工程学等等。