安全测试简述

一、服务端安全测试体系：

1. 用户视角的流程：

用户-客户端-服务端

2. 安全测试员的流程：

手机（可篡改）-客户端（可篡改）- 服务端（服务端相对来说安全一些，不过针对异常数据处理可能出问题）

二、安全测试环境演练

1. dvwa（开源项目），是一个安全测试演练场，需要自己搭建

三、常见的安全测试工具

1. OWASP ZAP（开源）

2. WVS

3. AppScan

4. BurpSuite

5. Sqlmap（开源）

四、安全测试关注的维度

1.  传输：

* 敏感信息传递加密

* 链路加密

2. 接口

* 访问控制

3. 参数

* 注入：sql注入、命令注入、文件注入

* 越权：越过更高权限、越过同级权限

五、建立安全测试流程

1. 白盒代码分析：自动化

* sonar、findbugs等

2. 黑盒扫描机制：自动化

* burpsuite、appscan、sqlmap等

3. 业务流程安全探索：人工检测

* burpsuite、zap

六、关于工具burpsuite

1. burpsuite简介

适合渗透测试，可以