web应用测试的具体流程（等保测评相关）

一、与用户仔细交流意见，询问一下哪些操作可以做，哪些操作不能做，避免进行应用测试时损坏生产数据（测试环境除外）

二、询问客户需要测的应用的管理员（系统管理员、审计管理员等）和普通用户的测试账号。

三、开始测试web应用

1.我们登录看看应用具体有哪些模块

2.模块下的功能性按钮（比如：新增-附件处-上传等）

3.测试管理员和普通用户是否具有越权行为，又或者是普通用户越权查看管理人员才成查看到的模块

4.测试web应用是否有目录遍历的漏洞（这里我们用burpsuite，加上自己写的一些敏感的目录信息）

5.测试查询处等利于SQL注入的地方是否拥有sql注入漏洞（可以手工也可以使用sqlmap工具）

6.测试添加信息处是否存在xss漏洞（比如：存储型xss、DOM型xss、反射型xss等）

7.使用burpsuite，拦截web登录信息，看看是否有明文的鉴别信息或者采用MD5等不安全的加密算法。

8.测试是否有未授权下载，使用burpsuite，拦截文件下载信息，发送到repeater，删除cookie等信息，看看是否还是能下载。

9.询问客户询问类的信息，比如定时更换口令、登录失败处理等功能。

10.测试是否存在永久cookie和token等。

四、反馈给客户问题列表

五、客户整改完后，复测，出具报告等。