软件测试2019：第五次作业—— 安全测试（含安全测试工具实验）

 

阐述常见的Web安全测试有几种类型？

（1）数据加密：

某些数据需要进行信息加密和过滤后才能在客户端和服务器之间进行传输，包括用户登录密码、信用卡信息等。

（2)登录或身份验证：

一般的应用站点都会使用登录或者注册后使用的方式，因此，必须对用户名和匹配的密码进行校验，以阻止非法用户登录。在进行登录测试的时候，需要考虑输入的密码是否大小写敏感、是否有长度和条件限制，最多可以尝试多少次登录，哪些页面或者文件需要登录后才能访问/下载等。身份验证还包括调用者身份、数据库的身份、用户授权等，并区分公共访问和受限访问，受限访问的资源。

(3)输入验证：

在进行Web安全性测试时，每个输入域都需要用标准的机制验证，长度、数据类型等符合设定要求，不允许输入JavaScript代码，包括验证从数据库中检索的数据、传递到组件或Web服务的参数等。

(4)SQL注入：

从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取必要的数据库信息，然后基于这些信息，可以注入某些参数，绕过程序的保护，针对数据库服务器进行攻击。

(5)超时限制：

Web应用系统一般会设定“超时”限制，当用户长时间不做任何操作时，需要重新登录才能打开其他页面。

(6)目录：

Web目录安全也是不容忽视的。如果Web程序或Web服务器的处理不适当，可以通过简单的URL替换和推测，使整个Web目录暴露出来，带来严重的安全隐患。

（7）操作留痕：

为了保证Web应用系统的安全性，日志文件是至关重要的。需要测试相关信息是否写进入了日志文件，是否可追踪。

 

跨站点攻击，即Cross Site Script Execution(通常简写为XSS)是指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的HTML代码，从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。

• 反射型跨站（Reflected XSS）
• 存储型跨站（Stored XSS）
• DOM跨站(DOM-Based XSS)

序号	安全测试工具	商用 OR 免费	检测对象（二进制代码/源代码）	简介
1	Metasploit	免费	源代码	攻击框架，包含大量的插件，做渗透测试
2	Nessus	商用	源代码	针对服务器主机类漏洞检查工具
3	W3AF	免费	源代码	针对WEB应用的检测
4	Paros proxy	免费	源代码	基于java的web代理程序，可以评估web应用程序的漏洞
5	WebScarab	免费	源代码	基于代理劫持的分析，来进行攻击路径的检测
6	Nikto	免费	源代码	旨在发现Web服务器的配置错误，插件和网页漏洞
7	Wapiti	免费	源代码	扫描指定目标的网页，并寻找脚本和表单来诸如数据，看看是否有漏洞
8	Nmap	免费	二进制代码	属于主机扫描工具，可以进行全面的检查
...

 

选择一个开源的安全测试工具（可以参考教材 P176），开展试用，写一个试用报告。报告内容