致测试同仁们：让我们做安全测试吧！(6)

有了思维的转换，我们可以加入新的测试想法。但是，在具体做安全测试的时候我们会发现并不是那么容易去模拟恶意用户的行为。毕竟系统的前端会给我们很多的屏障。而且恶意用户可不总都是从系统前门进去的。这时候，使用一些工具，比如OWASP Zap( https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project)、Burp( https://portswigger.net/burp/ )等是非常有帮助的。我们可以在系统界面上执行功能测试的用例，用这些工具来获取http请求，篡改后发送给后台服务器。有了这些实用又比较容易上手的工具，我们就可以执行很多恶意用户的操作场景了。

能做到这三点，起步就基本够用了。

举个例子吧

下面让我们以网上商城的买家在商品评价中上传图片这个功能来讲讲如何实践这“三板斧”。假设我们从项目初期就加入了，那么我们大致有七件事情要做：

1. 识别系统中有价值的数据；
2. 在需求分析阶段加入恶意用户需求；
3. 针对恶意用户需求设计测试用例；
4. 参与启动恶意需求的开发；
5. 在开发环境验收恶意需求的实现；
6. 在测试环境中进行安全测试；
7. 向团队反馈所发现的安全漏洞。

不要担心，这不是7个全新的事情。这只是在每个需要测试人员出现的地方增加了安全的工作而已。

1. 识别系统中有价值的数据

原文转自：http://www.infoq.com/cn/articles/to-test-colleagues-let-us-do-a-safety-test

• 共9页:
• 上一页
• 1
• 2
• 3
• 4
• 5
• 6
• 7
• 8
• 9
• 下一页