中国石化AppScan安全测试报告参考模板.pdf

中国石化AppScan安全测试报告

中国石化资金集中管理信息系统

Web应用安全测试报告

1/7

中国石化AppScan安全测试报告

1.简介

本文针对中国石化资金集中管理信息系统，采用IBMRational的安全测试

产品AppScan进行安全测试，并基于此次测试的结果进行分析。

1.1中国石化资金集中管理信息系统应用特点

中国石化资金集中管理信息系统应用采用Jboss4.2.4作为应用服务器，系

统使用基于Spring的Acegi进行安全认证和授权；其中还大量采用了

Javascript技术，所有其对于url的解析处理，需要动态进行处理。

1.2针对中国石化资金集中管理信息系统应用特点的安全

测试设置

针对于中国石化资金集中管理信息系统应用的以上特点，并结合实际使用

情况分为三种场景进行测试，测试内容选择了系统的功能1和功能2：

1）使用用户名/密码，但不进行登陆验证：此场景如同一般用户登陆系统，

但不进行登陆验证，即不判断针对特殊应用安全的登陆，是否存在安全

问题。

中国石化AppScan安全测试报告

2）使用用户名/密码，进行登陆验证：此场景选择正常用户登陆系统，进

行登陆验证，即判断针对特殊应用安全的登陆，是否存在安全问题。

3）基于不同角色登陆处理：结合权限较高的admin用户和权限较低的

cqusr1用户进行登陆，除了常规的安全的检测，特别还要针对跨权限的

安全访问进行判断。

通过以上的配置，结合AppScan的登陆设置就可以了。

2.测试结果简析

结合以上的三个场景，针对部分功能进行安全测试后，初步获得以下测试

结果。

2.1整体内容分析

场景内容安全问题总计问题分类及数量

场景1：用户名/密码登访问192url，发现60问题严重:2类/16个

陆，无登陆验证中等:2类/3个

低等:3类/6个

泄漏：4类/35个

场景2：用户名/密码登访问243url，发现104问题严重:3类/22个

陆，进行登陆验证中等:2类/3个

低等:3类/36个

泄漏：4类/43个

场景3：分角色用户登陆访问192url，发现69问题严重:3类/23个

中等:2类/3个

低等:3类/6个