软件的安全性应从哪几个方面去测试？

一、用户认证安全的测试：

1、明确区分系统中不同用户权限

2、系统中会不会出现用户冲突

3、系统会不会因用户的权限的改变造成混乱

4、用户登陆密码是否是可见、可复制

5、是否可以通过绝对途径登陆系统（拷贝用户登陆后的链接直接进入系统）

6、用户退出系统后是否删除软件安全性模拟攻击了所有鉴权标记软件安全性模拟攻击，是否可以使用后退键而不通过输入口令进入系统

二、系统网络安全的测试

1、测试采取的防护措施是否正确装配好，有关系统的补丁是否打上

2、模拟非授权攻击，看防护系统是否坚固

3、采用成熟的网络漏洞检查工具检查系统相关漏洞（即用最专业的黑客攻击工具攻击试一下，现在最常用的是 NBSI 系列和 IPhacker IP ）

4、采用各种木马检查工具检查系统木马情况

5、采用各种防外挂工具检查系统各组程序的客外挂漏洞

三、 数据库安全测试：

1、系统数据是否机密（比如对银行系统，这一点就特别重要，一般的网站就没有太高要求）

2、系统数据的完整性（我刚刚结束的企业实名核查服务系统中就曾存在数据的不完整，对于这个系统的功能实现有了障碍）

3、系统数据可管理性

4、系统数据的独立性

5、系统数据可备份和恢复能力（数据备份是否完整，可否恢复，恢复是否可以完整）

在安全评估过程中采取什么手段可以模拟黑客入侵过程检测系统安全脆弱

在安全评估过程中采取手工检查手段可以模拟黑客入侵过程检测系统安全脆弱。

一般是指通过模拟黑客的攻击手法软件安全性模拟攻击，对计算机网络系统进行安全评估测试软件安全性模拟攻击，如果发现系统中存在漏洞软件安全性模拟攻击，向被测试系统的所有者提交渗透报告，并提出补救措施。这一章将通过渗透测试Web应用和服务器，向大家介绍渗透测试的方法和技巧。

收集信息是网络渗透的第一步，也是关键的一步(事实上，除软件安全性模拟攻击了网络渗透，许多工作的第一步就是收集信息)。一个完整的渗透过程是一个漫长的过程，前期的信息收集可以让人们对渗透目标有一个初步的了解，而后期的信息收集往往是成功的关键。攻防之间的任何较量，都是基于对信息的掌握程度，在信息不对称的情况下，很容易造成误判或失误。

请问软件测试和渗透测试的区别是什么？

软件测试下的定义是：“使用人工或自动的手段来运行或测定某个软件系统的过程，其目的在于检验它是否满足规定的需求或弄清预期结果与实际结果之间的差别”。软件测试的目的是为了检验软件系统是否满足需求。

渗透测试考虑的是以黑客方法，从单点上找到利用途径，证明你有问题，帮助客户提高认识，也能解决急迫的一些问题。

软件安全性测试包括哪些方面

软件安全性测试包括程序、网络、数据库安全性测试软件安全性模拟攻击，根据系统安全指标不同测试策略也不同。

1、用户程序安全软件安全性模拟攻击的测试要考虑问题包括：

① 明确区分系统中不同用户权限。

② 系统中会不会出现用户冲突。

③ 系统会不会因用户软件安全性模拟攻击的权限的改变造成混乱。

④ 用户登陆密码是否是可见、可复制。

⑤ 是否可以通过绝对途径登陆系统（拷贝用户登陆后的链接直接进入系统）。

⑥ 用户推出系统后是否删除了所有鉴权标记软件安全性模拟攻击，是否可以使用后退键而不通过输入口令进入系统。

2、系统网络安全的测试要考虑问题包括：

① 测试采取的防护措施是否正确装配好软件安全性模拟攻击，有关系统的补丁是否打上。

② 模拟非授权攻击，看防护系统是否坚固。

③ 采用成熟的网络漏洞检查工具检查系统相关漏洞。

④ 采用各种木马检查工具检查系统木马情况。

⑤ 采用各种防外挂工具检查系统各组程序的客外挂漏洞。

3、数据库安全考虑问题：

① 系统数据是否机密（比如对银行系统，这一点就特别重要，一般的网站就没有太高要求）。

② 系统数据的完整性。

③ 系统数据可管理性。

④ 系统数据的独立性。

⑤ 系统数据可备份和恢复能力（数据备份是否完整，可否恢复，恢复是否可以完整）。

软件测试如何做安全性检查呢，比如输入什么特殊字符

针对应用安全（网站类型）

第一步 收集信息软件安全性模拟攻击，软件安全性模拟攻击你需要软件安全性模拟攻击了解，一般有多少个url地址及页面、请求的情况等等（一般在你完成功能测试后，已经知道了）

第二步 分层检查 简单的来的话，分2层，页面层，针对输入框进行跨站、SQL注入等字符的进行检查，这是比较常规的方式，在完成这个一个层面的检查后，你可以针对请求层来进行检查，一般问题是出在隐藏的传递属性上，因为，开发常规会对输入的参数进行前后台字符校验，而对于默认的传递参数会忽略掉，而这就是漏洞的所在

第三步 猜测性测试，这种方法主要是针对服务中间件的测试，软件安全性模拟攻击我们会根据IIS、weblogic、apache等应用中间件的默认响应页面进行猜测，还有一些错误信息页面，比如黄页中的信息，这些都是应该避免

这样的方式比较繁琐和复杂，当然如果有相关的测试工具话 相对可以比较快捷一点，首先它能帮助我们完成信息收集和第一轮的安全检查，根据其的报告，我们可以深入的进行更深层次的安全检查，提高我们的测试效率。

软件评测师写作专栏之安全测试的基础知识26

各位学员大家好，大家在学习软件测试基础知识时，安全测试已经成了必不可少的一部分。为了让大家快速掌握这方面的知识点，接下来就带领大家一起来学习一下软件安全性模拟攻击！

例题软件安全性模拟攻击：以下不属于安全测试方法的是（）

A、安全功能验证

B、安全漏洞扫描

C、大数据量测试

D、数据侦听

【昊洋详解】： 安全测试方法包括安全功能验证、安全漏洞扫描、模拟攻击实验和数据侦听。具体内容如下所示：

1 ）、安全功能验证： 对软件需求中确定的有关安全模块的功能进行测试验证。例如权限管理模块，数据机密模块，传输加密模块，数据备份和恢复等模块一般都会有对应安全功能设置。安全功能验证的方法和一般程序测试类似，主要有以下三种：黑盒测试、白盒测试和灰盒测试。

2 ）、安全漏洞扫描： 用漏洞扫描软件对信息系统和应用软件有针对性地对有关漏洞进行扫描，然后发现漏洞后做好有效防范后补救措施，也可以采取保护措施防止非法者利用已知漏洞进行攻击。常见的漏洞有：

拒绝服务（Dos）漏洞： 故意的攻击网络协议实现的缺陷或直接通过野蛮手段残忍地耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃，而在此攻击中并不包括侵入目标服务器或目标网络设备。

本地用户扩权漏洞： 本地普通级别用户利用程序漏洞非法拥有其软件安全性模拟攻击他用户甚至超级用户的权限，从而使得系统遭到破坏。

远程用户扩权漏洞： 远程普通用户利用系统服务中的漏洞，未经授权就进入了系统访问，从而进行不可预知的破坏行为。

3 ）、模拟攻击实验： 将自己假装成类似于黑客的非法入侵的攻击者，利用目前存在的系统漏洞和常用的攻击手段，对提交评测的系统进行开发环境或试用环境里的攻击，以发现安全问题。主要四种攻击技术为：

服务拒绝（Dos）型攻击： 企图通过使服务器崩溃的方式来阻止其提供服务，主要手段包括：死亡之ping，泪滴，UDP洪水，SYN洪水，Land攻击，Smurf攻击，Fraggle攻击，电子邮件炸弹和畸形消息攻击等。

漏洞木马型攻击： 主要是由于系统使用者粗心大意或者已知系统漏洞但未及时打补丁，又或者不小心安放了木马等原因导致的非法入侵行为，主要包括：口令猜测，特洛伊木马和缓冲区溢出3种方式软件安全性模拟攻击；

信息收集类技术： 本身不会对目标服务器造成危害，收集大量有关系统的信息，为非法者非法入侵提供了便利，主要使用的技术有：扫描技术、体系结构刺探和利用信息服务3种。

伪装欺骗型攻击： 用于攻击目标配置不正确的消息，主要包括DNS高速缓存污染，伪造电子邮件，ARP欺骗和IP欺骗四种方式。

4 ）、数据侦听： 也称为“网络监听”，用于获取在网络上传输的信息，但这些信息不是发给自己的。网络侦听技术可以有效地管理网络，针对网络问题和检查网络的安全威胁。如果侦听技术工具被非法用户利用，也可能成为入侵者的入侵手段。

本题中的C选项大数据量测试是一种负载压力测试方法，不属于安全测试的范畴，故该题目的正确答案为C。

巩固练习题

（1）以下不属于安全防护策略的是（  ）

A、入侵检测

B、隔离防护

C、安全测试

D、漏洞扫描

（2）安全日志是软件产品的一种被动防范措施，是系统重要的安全功能，因此安全日志测试是软件系统安全性测试的重要内容，下列不属于安全日志测试基本测试内容的是（）

A、对安全日志的完整性进行测试，测试安全日志中是否记录包括用户登录名称、时间、地址、数据操作行为以及退出时间等全部内容

B、对安全日志的正确性进行测试，测试安全日志中记录的用户登录、数据操作等日志信息是否正确

C、对日志信息的保密性进行测试：测试安全日志中的日志信息是否加密存储，加密强度是否充分

D、对于大型应用软件系统：测试系统是否提供安全日志的统计分析能力

（3）用户口令测试应考虑的测试点包括( )。

①口令时效 ②口令长度③口令复杂度 ④口令锁定

A、①③④

B、②③④

C、①②③

D、①②③④

练习题参考答案

（1）解析： 本题考查信息安全和安全测试的基础知识。

信息安全防护策略 包括入侵检测、隔离防护、安全日志和漏洞扫描四种。具体内容如下所示：

1 ）、入侵检测： 是一种主动的网格防护措施，从系统内部或各种网络资源中主动采取信息，从中分析可能的网络入侵或攻击，通常IDS还应对入侵行为做出紧急响应。

2 ）、隔离防护： 是将系统中的安全部分和非安全部分进行隔离的措施，主要技术手段有防火墙和隔离网闸等，其中防火墙主要用于内网和外网的逻辑隔离软件安全性模拟攻击；而隔离网闸主要用于实现内网和外网的物理隔离。

3 ）、安全日志： 用于记录非法用户的登录名称、操作时间等内容信息。以便发现问题并提出解决措施。安全日志仅记录相关信息，不对非法行为做出主动反应，属于被动防护策略。

4 ）、漏洞扫描： 对软件系统及网络系统进行与安全相关的检测，找出安全隐患和可能被黑客利用的漏洞。

安全测试是在IT软件产品的生命周期中，特别是产品开发基本完成到发布阶段，对产品进行检验以验证产品符合安全需求定义和产品质量标准的过程，不属于安全防护策略的范畴。故该题目的正确答案为C。

（2）解析： 本题考查安全测试中安全日志测试的基础知识。

安全日志 用于记录非法用户的登录名称、操作时间等内容信息。以便发现问题并提出解决措施。安全日志仅记录相关信息，不对非法行为做出主动反应，属于被动防护策略。

系统安全日志在每次开关机、运行程序、系统报错时，这些信息都会被记录下来，保存在日志文件中。但是日志本身是不需要加密存储的，故该题目的正确答案为C。

（3）解析： 本题考查安全测试中用户口令测试的基础知识。

web系统容易受到攻击，一般会对用户名/口令（密码）机制进行认证。对口令认证机制测试应包含的基本测试点如下所示：

1）、对用户名称测试的主要测试点在于测试用户名称的唯一性，即测试同时存在的用户名称在不考虑大小写的情况下，不能够同名。

2）、对用户口令测试应主要测试用户口令是否满足当前流行的控制模式。主要测试点应包括最大/最小口令时效、口令历史、最小口令长度、口令复杂度、加密选项及口令锁定等。因此本题①②③④都属于用户口令安全保护相关的内容。

故该题目的正确答案为：D。

写于2020年10月19日