Web安全测试—12逻辑测试与Class文件反编译测试

逻辑测试

本测试无法给出很具体的测试指导，在测试中可以根据下列方法进行测试：

首先，测试人员应尽量理解业务系统。

其次，提炼各种业务场景和工作流程

然后，设计业务逻辑测试，设计时可参考以下原则：

1. 对用户行为顺序处理不当，例如：某个网上申报流程，首先验证用户名和口令，正确后跳到下一步流程输入页面，然后再到下一步提交申报。一般来说如果用户名和口令验证不通过，就不能进行下一步，但如果测试人员记住了流程输入页面对应的链接，直接在浏览器中输入链接，就能跳转到对应的页面。
2. 如果不同的业务处理流程都使用了类似的逻辑处理，则这些业务流程都需要进行相同的逻辑测试。例如：对于业务协同系统存在两种金额处理的流程，假设为支出与收人。两个流程中间都有金额参数传递，且后台进行了用户金额扣除。那么在测试中都需要考虑到金额的逻辑测试（假如将金额更改为负数）情况。

其他

Class文件反编译测试

编号	Web _01
测试用例名称	class文件反编译测试
测试目的	java源代码经过一些低版本的编译器编译后形成的class类文件能够被进行反编译，完全还原成java源代码。在攻击者有能力获取class时文件时很有可能造成信息泄漏。
用例级别	三级
测试条件	测试用机上安装了jad.exe工具，假设安装在从c:\jad.exe
执行步骤	找出一些重要的class文件（比如：加解密或登陆认证相关的） 进行windows命令行控制台 输入命令cd /d c:\classes c:\jad.exe *.class 观察在目录中输出的文件
预期结果	不能得到源文件。
备注
参考资料