安全性测试涉与的内容.doc

v1.0 可编辑可修改 安全性测试涉及的内容 一 个 完 整 的 WEB安 全 性 测 试 可 以 从 部署 与 基 础 结构 、输 入 验 证 、身份 验 证 、授 权 、配 置管 理、敏 感 数据 、会 话管 理 、加 密 。参 数 操 作 、异 常 管 理 、 审 核 和 日 志 记 录 等 几 个 方面 入 手 。 安 全 体 系 测 试 部 署 与 基 础 结 构 网 络 是 否 提 供 了 安 全 的 通 信 部 署 拓 扑 结 构 是 否 包 括 内 部 的 防 火 墙 部 署 拓 扑 结 构 中 是 否 包 括 远 程 应 用 程序 服 务 器 基 础 结 构 安 全 性 需 求 的 限 制 是 什 么 目 标 环 境 支 持 怎 样 的 信 任 级 别 输 入 验 证 如 何 验 证 输 入 A. 是 否 清 楚 入 口 点 B. 是 否 清 楚 信 任 边 界 C. 是 否 验 证 Web 页 输 入 D. 是 否 对 传 递 到 组 件 或 Web 服 务 的 参数 进 行 验 证 E. 是 否 验 证 从 数 据 库 中 检 索 的 数 据 1 v1.0 可编辑可修改 是 否 将 方 法 集 中 起 来 是 否 依 赖 客 户 端 的 验 证 应 用 程 序 是 否 易 受 SQL 注 入 攻 击 应 用 程 序 是 否 易 受 XSS 攻 击 如 何 处 理 输 入 身 份 验 证 是 否 区 分 公 共 访 问 和 受 限 访 问 是 否 明 确 服 务 帐 户 要 求 如 何 验 证 调 用 者 身 份 如 何 验 证 数 据 库 的 身 份 是 否 强 制 试 用 帐 户 管 理 措 施 授 权 如 何 向 最 终 用 户 授 权 如 何 在 数 据 库 中 授 权 应 用 程 序 如 何 将 访 问 限 定 于 系 统 级 资 源 配 置 管 理 是 否 支 持 远 程 管 理 2 v1.0 可编辑可修改 是 否 保 证 配 置 存 储 的 安 全 是 否 隔 离 管 理 员 特 权 敏 感 数 据 是 否 存 储 机 密 信 息 如 何 存 储 敏 感 数 据 是 否 在 网 络 中 传 递 敏 感 数 据 是 否 记 录 敏 感 数 据 会 话 管 理 如 何 交 换 会 话 标 识 符 是 否 限 制 会 话 生 存 期 如 何 确 保 会 话 存 储 状 态 的 安 全 加 密 为 何 使 用 特 定 的 算 法 如 何 确 保 加 密 密 钥 的 安 全 性 参 数 操 作 是 否 验 证 所 有 的 输 入 参 数 是 否 在 参 数 过 程 中 传 递 敏 感 数 据 3 v1.0 可编辑可修改 是 否 为 了 安 全 问 题 而 使 用 HTTP 头 数 据 异 常 管 理 是 否 使 用 结 构 化 的 异 常 处 理 是 否 向 客 户 端 公 开 了 太 多 的 信 息 审 核 和 日 志 记 录 是 否 明 确 了 要 审 核 的 活 动 是 否 考 虑 如 何 流 动 原 始 调 用 这 身 份 应 用 及 传 输 安 全 WEB应 用 系 统 的 安 全 性 从 使 用 角 度可 以 分 为 应用 级的 安 全与 传输 级的 安 全 ， 安 全 性 测 试 也 可 以 从 这 两 方面 入 手 。 应 用 级 的 安 全 测 试 的 主 要 目 的 是 查 找 Web系 统 自 身 程 序 设 计 中存 在的 安 全 隐 患 ， 主 要 测 试 区 域 如 下 。 注 册 与 登 陆：现 在 的 Web 应 用系 统基 本 采用 先注 册 ，后 登 录 的 方 式 。 A. 必 须 测 试 有 效 和 无 效 的 用 户 名 和 密码 B. 要 注 意 是 否 存 在 大 小 写 敏 感 ， C. 可 以 尝 试 多 少 次 的 限 制 D. 是 否 可 以 不 登 录 而 直 接 浏 览 某 个 页面 等 。 4 v1.0 可编辑可修改 在 线 超 时 ： Web 应 用 系 统 是 否 有 超时 的 限 制 ，也 就是 说 ，用 户登 陆一 定 时 间 内 （ 例 如 15 分 钟 ） 没 有 点 击 任 何页 面 ， 是 否需 要重 新 登陆 才 能 正 常 使 用 。 操 作 留 痕 ：为 了 保 证 Web 应 用 系统 的安 全 性，日 志 文 件 是 至 关重 要的 。 需 要 测 试 相 关 信 息 是 否 写 进 入 了日 志 文 件 ，是 否可 追 踪。 备 份 与 恢 复：为 了 防 范 系统 的 意 外 崩 溃 造成 的 数 据 丢失 ，备 份 与 恢复 手 段 是 一 个 Web 系 统 的 必 备 功 能 。备 份 与 恢复 根 据 We