文档介绍：国信嘉宁数据技术有限公司XXX系统安全测试报告创建人:xxx 创建时间:xxxx年xx月xx日确认时间: 当前版本::[√]草稿[]正式发布[]废止文档编号:P01当前版本::xxx审核人:发布日期:版本编号修订类型修订章节修订内容编制人/日期审核人/*修订类型分为:A-ADDED,M-MODIFIED,D-DELETED。目录1. 简介 . 编写目的 . 项目背景 . 系统简介 . 术语定义和缩写词 . 参考资料 42. 测试概要 . 测试范围 . 测试方法和测试工具 . 测试环境与配置 83. 测试组织 . 测试人员 . 测试时间细分及投入人力 94. 测试结果及缺陷分析 . 测试执行情况统计分析 . 遗留缺陷列表 105. 测试结论 106. 测试建议 11简介编写目的描述编写本测试报告需要说明的内容。如:本报告为XX项目的安全测试报告,目的在考察系统安全性、测试结论以及测试建议。项目背景对项目背景进行简要说明,可从需求文档或测试方案中获取。系统简介对所测试项目进行简要的介绍,如果有设计说明书可以参考设计说明书,最好添加上架构图和拓扑图。术语定义和缩写词列出设计本系统/项目的专用术语和缩写语约定。对于技术相关的名词和与多义词一定要注明清楚,以便阅读时不会产生歧义。如:***:SQL注入:参考资料请列出编写测试报告时所参考的资料、文档。需求、设计、测试案例、手册以及其他项目文档都是范围内可参考的资料。测试使用的国家标准、行业指标、公司规范和质量手册等等。测试概要测试的概要介绍,包括测试范围、测试方法、测试工具、测试环境等,主要是测试情况简介。测试范围请在此处说明此次测试的测试范围,可以参考安全测试方案中描述的测试范围。测试方法和测试工具简要介绍测试中采用的方法和工具示例:Xxx系统主要使用了输入安全、访问控制安全、认证与会话管理、缓冲区溢出、拒绝服务、不安全的配置管理、注入式漏洞等安全测试方案。针对以上提供的测试方案进行对应的测试用例和测试脚本编写,并使用Websecurify作为测试工具。(字符串,整型,实数,等)、允许的字符集、最小和最大的长度、是否允许空输入、参数是否是必须的、重复是否允许、数值范围、特定的值(枚举型)、特定的模式(正则表达式),复制该页面的url地址,关闭该页面以后,查看是否可以直接进入该复制好的地址例:从一个页面链到另一个页面的间隙可以看到URL地址直接输入该地址,:对Grid、Label、Treeview类的输入框未做验证,:view-source:http地址可以查看源代码在页面输入密码,页面显示的是*****,右键,查看源文件就可以看见刚才输入的密码。:攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序,最终使程序陷入瘫痪。需要做负载均衡来对付。:Config中的链接字符串以及用户信息,邮件,数据存储信息都需要加以保护程序员应该作的:配置所有的安全机制,关掉所有不使用的服务,设置角色权限帐号,使用日志和警报。分析:用户使用缓冲区溢出来破坏web应用程序的栈,通过发送特别编写的代码到web程序中,攻击者可以让web应用程序来执行任意代码。:一个验证用户登陆的页面, 如果使用的sql语句为: Select*fromtableAwhereusername=’’+username+’’andpassword….. Sql输入‘or1=1――就可以不输入任何password进行攻击或者是半角状态下的用户名与密码均为:‘or’‘=’。:程序在抛出异常的时候给出了比较详细的内部错误信息,暴露了不应该显示的执行细节,网站存在潜在漏洞。:帐号列表:系统不应该允许用户浏览到网站所有的帐号,如果必须要一个用户列表,推荐使用某种形式的假名(屏幕名)来指向实际的帐号。浏览器缓存:认证和会话数据不应该作为GET的一部分来发送,应该使用POST。(XSS)分析:攻击者使用跨站脚本来发送恶意代码给没有发觉的用户,窃取他机器上的任意资料测试方法: ●HTML标签:<…>…</…> ●转义字符:&(&);<(<);>(>);