Web安全测试—09会话管理测试

身份信息维护方式测试

编号	Web _01
测试用例名称	身份信息维护方式测试
测试目的	发现目标系统是否采用参数来进行身份判断。
用例级别	一级
测试条件	已知Web网站地址 Web业务正常运行 Web业务存在不同级别的权限（角色）
执行步骤	登录系统 配置WebScarab进行http get和post请求拦截 请求Web页面 在WebScarab中查看请求报文 检查请求消息中是否携带了与用户身份相关的数据。如果有，修改身份信息。如果服务器端以修改后的身份进行操作，则说明存在漏洞，完成测试。
预期结果	用户登陆后，身份信息不再由客户端提交，而是以服务器端会话信息中保存的身份信息为准。
备注
测试结果

Cookie存储方式测试

编号	Web _02
测试用例名称	Cookie存储方式测试
测试目的	某些Web应用将SesssionId放到了URL中进行传输，攻击者能够诱使被攻击者访问特定的资源，例如图片。在被攻击者查看资源时获取该SessionID（在HTTP协议中Referer标题头中携带了来源地址），从而导致身份盗用。
用例级别	一级
测试条件	已知Web网站地址 Web业务运行正常 Web业务存在登陆认证模块 已知正确的用户名、口令
执行步骤	登录系统。 请求不同的业务应用 观察URL。
预期结果	URL中没有携带Session ID信息（可能是sid,JSESSIONID等形式）。
备注
测试结果

用户注销登陆的方式测试

编号	Web_ 03
测试用例名称	用户注销登陆的方式测试
测试目的	查看是否提供注销登陆功能
用例级别	一级
测试条件	已知Web网站地址 Web业务运行正常 Web业务存在登陆认证模块 已知正确的用户名、口令
执行步骤	使用正常的用户、口令登录系统。 查找登陆后的所有页面中是否存在明确的“退出”或“注销”（或类似）的按钮或者链接
预期结果	登陆后的页面中有明确的“退出”或“注销”按钮。
备注
测试结果

注销时会话信息是否清除测试

编号	Web_04
测试用例名称	注销时（logout），会话信息是否清除
测试目的	由于网站程序在编写上考虑不周，用户注销后会话信息没有清除，导致用户在点击注销按钮之后还能继续访问注销之前（也就是登陆之后）才能访问的页面。我们需要经过测试来判断是否存在此类问题。
用例级别	一级
测试条件	已知Web网站地址 Web业务正常运行 存在注销功能的页面
执行步骤	使用合法的账户口令登陆。 开启WebScarab，配置对GET和POST请求进行拦截 在浏览器中配置代理服务器IP为127.0.0.1，端口为8008 在Web页面中进行一些操作（比如修改个人信息），这些操作都会被WebScarab拦截，不修改，在弹出的WebScarab界面中点击“Accept Changes”按钮。这样请求就被WebScarab记录下来。 然后在Web页面中点击注销/退出（logout）。 点击WebScarab的“Manual Request”TAB页，在Previous Requests的下拉列表框中选择“步骤4”所产生的URL请求，然后点击“Fetch Response”，重新发送“步骤4”的URL请求。 在WebScarab的Response的“Raw”Tab页中观察返回结果，如果还能够正常完成“步骤4”的操作，则存在安全漏洞。
预期结果	在WebScarab的Response的“Raw”Tab页中显示“HTTP/1.1 302 Moved Temporarily”，不能够访问只有登陆才能访问的页面，不能完成只有登陆后才能完成的操作。
备注	如果存在多个注销功能的页面，要重复测试过程把所有有注销功能的页面测试完。
测试结果

会话超时时间测试

编号	Web_05
测试用例名称	会话超时时间测试
测试目的	查看是否存在浏览器窗口闲置超时后需重新登录的机制
用例级别	一级
测试条件	已知Web网站地址 Web业务运行正常 Web业务存在登陆认证模块 已知正确的用户名、口令
执行步骤	使用正常的用户、口令登录系统。 将浏览器窗口闲置11分钟。 刷新浏览器，查看是否需要重新登录。 备注：也可以登陆后台Web服务器，查看对应的szboadna-config.xml文件中的cook.expire.time参数值，该值表示会话的超时时间。
预期结果	会话超时时间不大于10分钟，刷新浏览器之后需要重新登录。
备注
测试结果

会话定置测试

编号	Web _06
测试用例名称	会话定置测试
测试目的	查看登录成功后会话标识是否变更。如果未变更，那么攻击者就可以通过一些手段（如构造URL）为受害着确定一个会话标识，当受害者登录成功后，攻击者也可以利用这个会话标识冒充受害者访问系统。
用例级别	三级
测试条件	已知Web网站地址 Web业务运行正常 Web业务存在登陆认证模块 已知正确的用户名、口令
执行步骤	访问登录页面 开启WebScarab，配置对GET和POST请求进行拦截；并在浏览器中配置代理服务器IP为127.0.0.1，端口为8008 填入正确的用户名和口令，填入正确的验证码，登录 WebScarab跳出拦截界面，点击“RAW”TAB页，查看会话标识（例如JSP的会话标识为JSESSIONID）的值。 点击“Accept Changes”，登录成功。 成功登录后，点击系统提供的链接，请求任意功能页面。 WebScarab再次跳出拦截界面，点击“RAW”TAB页，查看（例如JSP的会话标识为JSESSIONID）的值。 如果步骤4和步骤7查看到的会话标识的值一样，说明登录前后会话标识没有变更，存在会话定置的安全漏洞。
预期结果	步骤4和步骤7（登录前后）查看到的会话标识的值不一样
备注	虽然会话定置的危害比较大，但由于要事先为受害者确定会话标识，并且让受害者根据此会话标识登录系统，其发生的概率很小，所以综合风险不高，测试时根据被测系统安全要求的高低，来确定是否执行该用例。
测试结果