专栏首页自动化、性能测试安全测试通用用例

安全测试通用用例

阅读需知

这是总结的是一些通用安全测试用例,但安全测试远不如此,这些用例只能算入门!!

漏洞扫描

定义:对系统的URL进行漏洞扫描,扫描系统开放的端口、服务和存在的漏洞

前置条件

步骤

结果

我们公司用绿盟扫描器

登录扫描器进行WEB扫描

在漏洞扫描中选择WEB扫描,输入待扫描的URL地址

查看扫描报告是否有漏洞,其中高风险和中风险漏洞需要修复

查看扫描报告是否有漏洞,其中高风险和中风险漏洞需要修复

1、确认高风险和中风险漏洞都修复完成 2、修复风险后需注意不要影响系统原先功能的正常性,建议做影响范围的功能回归测试,保证系统正常

定期检查

同一个URL,3个月内扫描一次

明文传输

定义:对系统传输过程中的敏感内容是明文&密文进行检查

系统传输敏感信息场景:登录、注册、支付、修改密码

系统敏感信息:登录密码、支付金额、注册的手机号码、身份证、邮箱等信息

步骤

结果

对传输敏感信息场景进行抓包

分析其数据包中的相关敏感字段是否为明文

分析其数据包中的相关敏感字段是否为明文

越权访问

定义:测试能否通过URL地址获取管理员及其他用户信息

1、出现admin、user、system、pwd等敏感目录的URL地址

如:https://walmon-competition.gz.cvte.cn/competition_api/admin/v1/user/role_user_unit

2、垂直越权场景:当系统存在多个不同权限的管理员时,低权限的管理员不能访问或操作到高权限的管理的资源

3、水平越权场景:当系统存在多个需要登录用户,A用户不能访问B用户的资源

步骤

检查URL是否存在admin/user/system/pwd等敏感目录

垂直越权: 1.使用高权限的管理员登录后,访问一些他独有的资源,或者进行一些特权操作,记录下接口信息 2.退出登录后,使用低权限用户登录,重新执行步骤1记录下来的接口,查看是否能够操作成功

水平越权: 1. 使用A用户登录后,打开A用户所独有的个人资源的URL或者进行一些修改操作,记录下接口信息 2. 退出登录后,使用B用户登录,重新执行步骤1记录下的接口,看是否能够访问或者操作成功。

反射性跨站脚本

定义:测试系统是否对输入进行过滤或转移,规避用户通过跨站脚本攻击造成风险

跨站脚本攻击场景:搜索框、输入框、留言、上传文件

步骤

结果

在系统的URL地址后面,输入测试语句: <img src=x onerror=alert(1)> <script>alert("1") </script>;

是否会有弹窗

在系统的搜索框、输入框、留言,输入测试语句: 同上

像留言、评论、公告等输入内容都会存到数据库 前端查看对应内容时是否会有弹窗

在上传文件功能中,往需要导入的文件中输入测试语句: 同上

文件上传

定义:测试能否上传木马、病毒、色情图片等恶意图片

步骤

结果

生成一个测试的恶意文件,如一个txt文档,内容为<img src=x onerror=alert(1)> 文件名字最好为英文,如test

点击上传功能,抓包拦截上传接口,将上传的文件后缀修改为html文件(访问该html文件)

可正常执行恶意语句,则有错

越权文件下载

定义:测试URL中是否包含文件名或文件目录,尝试提交参数值查看是否可下载或读取其他目录的文件内容

文件下载场景:文件下载、文件读取功能

测试url:包含文件名或文件目录的url

步骤

结果

进行文件下载操作,找到文件下载路径 http://www.example.com/donwload.jsp?filename=test12789.pdf

修改下载路径中的文件参数值,检查访问效果 http://www.exbugmpjsp?filename=test.pdf

如果可以下载修改后的文件,则证明存在漏洞

修改下载路径,通过../对路径进行跳转尝试下载其他目录下的文件 http://www.example.com/donwload.jsp?filename=../../WEB-INF/web.xml

如果可以下载web.xm文件,则有bug

短信/邮箱验证

定义:测试短信、邮箱验证方式是否进行安全设置

触发短信、邮箱验证码验证相关的场景:找回或重置密码、注册、邀请注册、引流活动分享

步骤

结果

操作密码重置、找回密码等功能,触发跳转到输入手机号或邮箱的页面

输入测试手机号或邮箱,看能否一直连续无间隔 发送短信验证码,造成短信轰炸

短信轰炸若存在,及证明存在该漏洞,报BUG 触发短信、邮件发送的前提必须有安全验证(验证码、滑动验证等),防止短信被刷

如果有对应的验证设置,输入手机号、邮箱,同步开始抓包,查看数据包能否抓取到发送的验证码信息

如果可以抓取到,则验证码可以被修改,存在漏洞,报BUG

鉴权缺失

定义:测试需要登录、鉴权才可操作的系统中可修改资源的相关接口,鉴权是否可靠

测试对象:可以修改资源的接口

步骤

结果

定义:测试需要登录、鉴权才可操作的系统中可修改资源的相关接口,鉴权是否可靠 测试对象:可以修改资源的接口

1、如果参数都是完全可以被预期的话。即除了鉴权的cookie 外,header中和body表单中的所有参数都可以被事先知道。那么表明存在漏洞。报BUG 2、如果header或者body中有随机的token或者需要验证码之类的,则不存在漏洞

抓包、分析接口的参数,观察鉴权参数,如cookie 或者access token等

1、如果观察cookie 或者access token,可掌握其规律,如为某固定单一不变的值或使用用户ID作为cookie 的值,会话控制信息可以被猜测,鉴权不可靠,表明存在漏洞。报BUG

密码健壮性

定义:测试密码、验证码验证的方式是否可靠,是否可以被暴力猜测直至命中

步骤

结果

操作输入密码、验证码的场景,使用抓包工具,修改接口中的密码、验证码,多次尝试输入错误的验证码

可以被暴力猜测直至命中,则存在漏洞

使用工具重复请求接口(类似登录接口)多次(密码错误、验证码错误情况下、100次以上

使用工具重复请求接口(类似登录接口)多次(密码错误、验证码错误情况下、100次以上

检查密码设置、验证码生成的业务逻辑设计

1、若设置密码时就未考虑密码复杂程度,允许用户设置弱密码 (如设置账号必须满足数字+字母+特殊字符,8位以上。规避123456、aaaaaaa、qwerty等弱密码),用户账号安全可能存在漏洞,可反馈给研发进行整改,推进账号安全 2、若验证码生成逻辑简单,或者结果集合小,或为简单的图片验证,则可能存在漏洞,可反馈开发进行整改,尽量使用更安全的验证设计(如行为验证 )

对密码找回及修改密码功能,检查密码是否有权限管控,只能修改或设置自己的密码,规避通过该功能修改别人的密码

若可通过密码找回、修改密码、账号申诉等功能,修改其他人的账号密码,则存在漏洞,报BUG

数据安全

定义:检查系统中敏感数据的存储是否安全

敏感数据:密码、身份证、家庭住址、银行卡号、手机号、真实姓名

步骤

检查敏感数据是否加密存储,检查对应的数据表(mysql、redis)数据记录,防止拖库后信息泄露

检查敏感数据在操作界面展示上是否脱敏 如:密码显示隐藏选项,手机号、身份证仅显示首尾等134****4250,220**********2129

检查数字设置安全,是否限制输入负数或超大数额

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Cypress系列(4)- 解析 Cypress 的默认文件结构

    https://www.cnblogs.com/poloyy/category/1768839.html

    小菠萝测试笔记
  • Jmeter系列(2)- Jmeter的详细介绍

    https://www.cnblogs.com/poloyy/category/1746599.html

    小菠萝测试笔记
  • MySQL 中 You can't specify target table '表名' for update in FROM clause错误解决办法

    在MySQL中,写SQL语句的时候 ,可能会遇到 You can't specify target table '表名' for update in FROM ...

    小菠萝测试笔记
  • 移动支付时代的手机和app安全设置

           进入移动互联网时代,移动支付已被大多数都市上班族所接受,逛个超市如果你说不能支持支付宝或者微信支付,估计会被深深鄙视,甚至就连菜市场买菜都可以随手...

    s1mba
  • GCAC72 18.3 Password protocols: security against direct attacks

    18.3 Password protocols: security against direct attacks

    安包
  • 加州大学提出:实时实例分割算法YOLACT,可达33 FPS/30mAP!现已开源!

    本文要介绍一篇很棒的实时实例分割论文:YOLACT,该论文是由 加利福尼亚大学 提出。截止2019年4月16日,据Amusi所了解,上述MS R-CNN应该是实...

    Amusi
  • Android中锁屏密码算法解析以及破解方案

    Youngxj
  • 生产系统如何给MySQL用户改密码

    在MySQL8.0以前版本,给MySQL更改密码,明确写到开发规范中,拒绝更在线更改更密码,因为在8.0以前操作非常麻烦且不太完美。

    wubx
  • 微软:暴力破解面前,增强密码复杂性基本没用

    我们都痛恨密码,然而不幸的是在当下及可以看见的未来里,账户登录等在线认证操作的主要方法还是需要使用密码的。密码认证有时确实比较烦人,尤其是一些网站为了密码安全性...

    FB客服
  • Eclipse 安装 ABAP Development Tools

    下载路径:https://www.eclipse.org/downloads/packages/release/2019-03/r/eclipse-ide-ja...

    CINDYLI

扫码关注云+社区

领取腾讯云代金券