《让我们做Web安全测试吧》ThoughtWorks 覃其慧.pdfVIP

致测试同仁们： 让我们做Web安全测试吧！ 2016-11-19 安全测试并不遥远 安全测试并不陌⽣ 安全测试并不陌⽣ • 都是“测试” • 关注软件质量 与“其他”测试的相似之处 • ⺫标 • 过程 • 测试⽤例 • 探索 • 怀疑的态度 ⺫标类似 • 预防缺陷 • 发现缺陷 过程类似 业务分析 测试 测试 了解业务 设计测试⽤例 测试 开发 业务分析 测试 分析并反馈测试结果 启动需求开发 测试 开发 业务分析 测试 执⾏测试 验收需求开发结果 测试⽤例有重合 • “我要登陆系统” • “我要下订单” • “我要上传⽂件” • … 探索 • 探索软件系统 的“计划外”⾏为 怀疑的态度 • 注意！这个Dev说他只 改了付款流程的⼀点点 东⻄。影响范围真的只 是⼀点点吗？ 安全测试从何做起 安全起步“三板斧” • 转化视⾓ • 改变模拟对象 • 使⽤专⽤的测试⼯具 转换视⾓ 改变模拟对象 • 合法⽤户 • 没有恶意 改变模拟对象 • 我想买⼀本书，我想 有个简化的付款流程 改变模拟对象 • ⾮法⽤户 • 不怀好意 改变模拟对象 • 我想买⼀本书，但是 我不想付钱 使⽤专⽤测试⼯具