安全测试概念

　　安全测试概念   软件测试

　　一、什么是安全性测试

　　安全性测试(security testing)是有关验证应用程序的安全服务和识别潜在安全性缺陷的过程。

　　注意：安全性测试并不最终证明应用程序是安全的，而是用于验证所设立策略的有效性，这些对策是基于威胁分析阶段所做的假设而选择的。

　　以下是我读<<软件评测试教程>>中的Web安全性测试章节内容，并进行修改的笔记，前面看了好多朋友写的，不过不是很全，希望对大家有所帮助，建议大家还是买本<<软件评测试教程>>此书绝对物超所值^_^

　　WEB安全性测试

　　一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密。参数操作、异常管理、审核和日志记录等几个方面入手。

　　1. 安全体系测试

　　1) 部署与基础结构

　　l 网络是否提供了安全的通信

　　l 部署拓扑结构是否包括内部的防火墙

　　l 部署拓扑结构中是否包括远程应用程序服务器

　　l 基础结构安全性需求的限制是什么

　　l 目标环境支持怎样的信任级别

　　2) 输入验证

　　l 如何验证输入

　　A. 是否清楚入口点

　　B. 是否清楚信任边界

　　C. 是否验证Web页输入

　　D. 是否对传递到组件或Web服务的参数进行验证

　　E. 是否验证从数据库中检索的数据

　　F. 是否将方法集中起来

　　G. 是否依赖客户端的验证

　　H. 应用程序是否易受SQL注入攻击

　　I. 应用程序是否易受XSS攻击

原文转自：http://www.ltesting.net