软件测试2019：第五次作业—— 安全测试（含安全测试工具实验）

一、回答下述问题：

　　阐述常见的Web安全测试有几种类型？参考教材P173.

　　答：有七种，分别是（1）数据加密；（2）登录或身份验证；（3）输入验证；（4）SQL注入；（5）超时限制；（6）目录；（7）操作痕迹

　　

二、安全测试工具调研

1. 概述

列出常见的安全测试工具，画一张表，加以说明。格式如下：

序号	安全测试工具	商用 OR 免费	检测对象（二进制代码/源代码）
1	Nessus	均有	Nessus是最受欢迎的漏洞扫描器，也是目前第三大流行安全程序
2	Snort	免费	对网络上的数据包进行抓包分析
3	Nagios	均有	监视系统运行状态和网络信息的监视系统
4	Ettercap	免费	Linux和BSD系统下的多用途数据包嗅探程序，也已经被移植到Windows平台下。主要测试企业网络以抵御中间人攻击（MITM）
5	Infection Monkey	免费	主要用于数据中心边界及内部服务器安全性的自动化检测。
6	Delta	免费	它可以在不同的环境中自动实例化针对SDN元素的攻击事件， 可以帮助发现SDN部署中未知的安全问题。
7	Cuckoo sandbox	免费	用于安全的测试文件，基于虚拟化环境所建立的恶意程序分析系统能自动执行并且分析程序行为。
8	Sleuth Kit	免费	Lynis是一个为系统管理员提供的 Linux和Unix的审计工具 。 Lynis扫描系统的配置，并创建概述系统信息与安全问题所使用的专业审计。
...

2. 安全测试工具试用

选择一个开源的安全测试工具（可以参考教材 P176），开展试用，写一个试用报告。报告内容

1）记录完整的测试过程（工具安装、环境设置、测试过程、结果分析），包括脚本文件；
2） 提交安全测试报告，描述所做的测试、遇到的问题、结果分析等，要包括主要的测试运行截图。

 我选用的是Nessus

步骤如下

1.注册下载

2.下载6.12版本

3.安装

4.进入https://localhost:8834/

5.注册本地账户并登陆

6.输入邮箱内的注册码

7.下载插件（由于网速问题，插件下载失败）

8.寻找离线包，用离线包下载成功（在命令提示符内完成安装）

9.进入界面

10.创建工程（选择Advanced Scan）

11.输入被测IP（此处选择百度的ip）

12.完成后导出结果PDF，得如下截图

下为PDF部分截图

结论：Nessus作为一个漏洞扫描器，其功能还是很强大的，就是安装各种插件时对国内网络太不友好，网络上大部分的离线包也失效了，经过寻找才找到一个可以使用的，在没有VPN的前提下，慎用此软件

 

转载于:https://www.cnblogs.com/sz837437345/p/10827684.html