软件测试基础-软件安全性测试

1.黑客想获得系统访问权限的动机：

• 挑战/成名
• 好奇
• 使用/借用
• 恶意破坏：分为三种–丑化、破坏、拒绝服务。丑化是改变网站的外形来展示黑客的意见和想法。破坏是以删除或修改存储在系统上的数据为表现形式。拒绝服务是阻止或妨碍被黑的系统执行正常的操作。
• 偷窃：最严重的黑客攻击行为可能就是偷窃。起动机是找出可以使用和出卖的有价值的东西。

---

2、威胁模式分析
威胁模式分析是用于评估软件系统的安全问题。执行模式分析并非测试员的责任，应该落到项目经理的任务清单上。威胁模式分析的一般步骤：

• 构建威胁模型分析
• 确认价值：考虑系统所有的东西对于一个入侵者的价值。
• 创建一个体系结构总体图：确认计划用在软件中的以及如何实现互连的技术。
• 分解应用程序：是一个格式化的过程，用于确认数据所在的位置和如何通过系统。
• 确认威胁：
• 记录威胁
• 威胁等级评定
• 潜在的损害
• 可反复性
• 可利用性
• 受影响的用户
• 可发现性