安全测试基础知识

目录

一、软件安全测试概述

二、 安全漏洞

三、软件安全测试方法

四、软件安全测试内容

五、软件安全测试的过程

六、web安全测试范围

七、web安全测试分类

八、0day&1day

---

一、软件安全测试概述

1. 概念

        安全性测试是指有关验证应用程序的安全等级和识别潜在安全性缺陷的过程。

2. 分类

· 应用软件的安全性测试

        软件自身程序设计中存在的安全隐患，并检查应用程序对非法侵入的防范能力。

· 系统级别的安全性测试

        确保只有具备系统平台访问权限的用户才能访问，包括对系统的登录或远程访问。

导致软件出现安全问题的主要原因或根源是软件的安全漏洞

二、 安全漏洞

1. 概念

        特指硬件、软件、协议，在逻辑设计上或具体实现或系统安全策略上存在的缺陷或错误。

· 漏洞的产生主要是由于程序员不正确和不安全编程引起的

· 不法者可以通过漏洞获取系统额外权限，并对系统植入木马、病毒，已窃取系统资料

· 威胁到系统安全的错误才是漏洞

2. 危害

· 系统完整性：非法篡改破坏数据的完整性

· 系统可用性：破坏系统或者网络，导致服务器不可用

· 系统机密性：泄露个人或企业的隐私信息

· 系统可靠性：造成系统不能正常提供有效服务

三、软件安全测试方法

1. 代码安全性测试

        主要通过对源代码进行安全扫描，根据程序中数据流、控制流、语义等信息与其特有软件安全规则库进行匹对，从中找出代码中潜在的安全漏洞。

2. 渗透测试

        主要使用自动化工具或者人工的方法模拟黑客的输入，对应用系统进行攻击性测试，从中找出运行时刻所存在的安全漏洞。

3. 程序数据扫描

        数据扫描的手段通常是进行内存测试，内存测试可以发现许多诸如缓冲区溢出这类的漏洞，而这类漏洞使用除此之外的测试手段都难以发现。

四、软件安全测试内容

1. 功能验证

       对涉及到安全的软件功能进行有效性验证，如管理模块、权限模块、加密系统、认证系统等。

2. 漏洞扫描

        安全漏洞扫描主要是借助于特定的漏洞扫描器完成的，系统管理员能够发现系统存在的安全漏洞。
3. 模拟攻击

        模拟攻击测试是一组特殊的极端的测试方法，以模拟攻击方式来验证软件系统的安全防护能力。

4. 侦听技术

        也称网络监听，可以获取网络上传输的信息，如果从获取的信息中提取到消息中提取到系统的隐私数据，就存在安全性问题。

五、软件安全测试的过程

        基于安全需求，将系统可能面临的安全问题进行分类，画出威胁树，可以针对威胁树选择应对的方法和技术，是为需求分析。

1. 基于威胁模型，制定计划

        以口令安全问题威胁树为例，计划就可基于口令安全可能遭受的各种攻击进行制定。

2. 规划最小测试单位

        并不是模块整体都有安全问题，只需要关注容易出问题的最小范围即可。

3. 对系统的可能漏洞进行分级

        对系统漏洞按照不同的优先级进行测试。

4. 设计安全测试用例

        根据漏洞类型，精心准备数据，设计测试用例进行测试。

5. 模拟攻击系统

        根据用例，模拟攻击系统，查看系统的状态。

6. 总结执行结果，提出解决方案

        执行用例，得到结果，根据结果现象提出解决方案。

六、web安全测试范围

1. 服务器本身级网络环境安全

2. web服务器应用的安全

3. 网站程序安全

4. web服务器周边应用安全

七、web安全测试分类

        web安全性包括但不限于下面几个部分，做好系统、数据库、服务器配置的安全策略，提高整体的安全防护等级，这个才是web安全测试的最终目的。

1. 认证与授权

2. DDOS拒绝服务攻击

3. XSS跨站攻击

4. Session与cookie

5. 文件上传漏洞

6. SQL注入

八、0day&1day

    0day又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞，通俗的讲，即安全补丁与瑕疵曝光的同一日内，相关的恶意程序就出现，这种攻击往往具有很大的突发性与破坏性。

    · 0day——只有你自己知道的一个漏洞

    · 1day——刚刚公布的漏洞（没有超过一天）

    · nday——这个漏洞已经公布出来N天了