致测试同仁们：让我们做安全测试吧！(9)

而这个环节存在的第二个目的是让我们可以从开发人员那里得到支持－具体实施的细节，帮助我们完善具体的测试用例。比如在这个时间点我们若从开发人员那里得知系统的后台没有对图片上传者做身份验证，我们就可以至少增加一个测试的用例：“恶意用户以其他用户的身份上传一个风马牛不相及的图片”。有时候错误的图片比没有图片更具有杀伤力。

6. 在测试环境中进行安全测试

终于到了运行测试的阶段。可能这个时候我们之前想到的测试用例已经被开发人员给解决。如果是这样那就太好了。但是，事实并非有这么美好。第一，可能这些用例只是在开发环境上成功通过了，但是在理想的测试环境里，也就是类产品环境里，这些用例可能并不能完全通过；第二，肯定还有其他需要探索的地方。这时我们就可以用OWASP Zap、Burp这样的工具来辅助我们把之前的安全测试用例执行一次，同时还再可以对系统的安全性做一下探索测试。

7. 向团队反馈所发现的安全 漏洞

都测得差不多的时候，我们就可以向团队以及相关干系人汇报安全测试的结果了。跟非安全测试不同的地方是，当我们反馈安全漏洞的时候，要考虑是否不同漏洞结合起来会增加系统的安全风险。举个例子：如果有两个安全漏洞，一个是系统没有很强的用户账户密码规规则，另一个是系统没有对上传图片的大小做限制，那么恶意

用户把这两个漏洞一结合起来，事情就比原来风险大很多。那么我们就必须建议提高这两个漏洞中任意一个的优先级。

当我们用“三板斧”走完这七步以后，我们已经可以把很多安全漏洞都挖出来了。是不是没有想象中的难？所以，测试同仁们，让我们做安全测试吧！

原文转自：http://www.infoq.com/cn/articles/to-test-colleagues-let-us-do-a-safety-test