4.授权
是否使用深层防御策略
使用了哪些网关守卫
是否使用基于角色的方法
角色是否提供足够的特权隔离
设计是否使用代码访问安全性
应用程序使用哪些身份
5.配置管理
是否支持远程管理
是否保存配置存储的安全
是否隔离管理员特权
6.敏感数据
是否存储机密信息
是否在网络中传递敏感数据
是否记录敏感数据
7.会话管理
如何交换会话标识符
是否限制会话生存期
如何确保会话状态存储的安全
8.加密
是否开发自己的加密技术
是否使用合适的密钥大小来应用正确的算法
如何确保加密密钥的安全性
9.异常处理
是否使用结构化的异常处理
是否向客户端公开太多的信息
10.审核和日志记录
是否明确了要审核的关键活动
是否考虑过如何流动原始调用者身份
二.应用及传输安全
1.注册与登录
2.在线超时
3.操作留痕
4.备份与恢复
5.HTTPS和SSL测试
6.服务器端的脚本漏洞检验
7.防火墙测试
延伸阅读
文章来源于领测软件测试网 https://www.ltesting.net/
