系统的安全性测试.docVIP

系统的安全性测试

1、安全性测试

安全性测试（Securitytest）它是指：在测试软件系统中对程序的危险防止和危险处理进行的测试，以验证其是否有效。

2、安全性测试我们要做哪些工作呢？

a.全面检验软件在软件需求规格说明中规定的防止危险状态措施的有效性和在每一个危险状态下的处理反应情况；

b.对软件设计中用于提高安全性的逻辑结构、处理方案，进行针对性测试；

c.在异常条件下测试软件，以表明不会因可能的单个或多个输入错误而导致不安全状态

d.用错误的安全性关键操作进行测试，以验证系统对这些操作错误的反应；

e.对安全性关键的软件单元功能模块要单独进行加强的测试以确认其满足安全性需求。

3、安全性测试方法

1）功能验证

功能验证是采用软件测试当中的黑盒测试方法，对涉及安全的软件功能，如：用户管理模块，权限管理，加密系统，认证系统等进行测试，主要验证上述功能是否有效。

2）漏洞扫描

安全漏洞扫描主要是借助于特定的漏洞扫描器完成的。通过使用漏洞扫描器，系统管理员能够发现系统存在的安全漏洞，从而在系统安全中及时修补漏洞的措施。一般漏洞扫描分为两种类型：主机漏洞扫描器是指在系统本地运行检测系统漏洞的程序。网络漏洞扫描器是指基于网络远程检测目标网络和主机系统漏洞的程序。

3）模拟攻击

对于安全测试来说，模拟攻击测试是一组特殊的极端的测试方法，我们以模拟攻击来验证软件系统的安全防护能力。

系统安全测试的内容，它主要包括：

（1）应用程序安全测试

（2）操作系统安全测试

（3）数据库安全测试

（4）IIS服务器安全测试

（5）网络环境安全测试

当然在这里我主要讲的是我做过的项目系统中需要测试的内容，对不同的系统安全性测试的内容也不一样，这个需要结合项目本身的情况和用户使用环境来确定测试的内容。

第一部分

应用程序的安全性：

包括对数据或业务功能的访问，在预期的安全性情况下，操作者只能访问应用程序的特定功能、有限的数据。其测试是核实操作者只能访问其所属用户类型已被授权访问的那些功能或数据。测试时，确定有不同权限的用户类型，创建各用户类型并用各用户类型所特有的事务来核实其权限，最后修改用户类型并为相同的用户重新运行测试。

应用程序的安全性问题：

以上的安全性测试方法中，对于不同的安全性测试策略列举了不同的问题，当然我列的不全，在这里我主要是告诉大家一个测试的思路，因为对于不同的安全性问题大家有或许有不同的看法，所以我只列举了部分问题给大家参考。

功能验证

1.有效的密码是否接受，无效的密码是否拒绝。

2.系统对于无效用户或密码登陆是否有提示。

3.用户是否会自动超时退出，超时的时间是否合理。

4.各级用户权限划分是否合理。

漏洞扫描

无

模拟攻击

1.系统是否允许极端或不正常的登陆方式访问。（如拷贝软件系统中的某个功能点的url地址，然后直接通过IE访问看是否成功）

3.为每个登陆帐户设置了合适的权限，执行改变数据库状态的权限需要得到管理员的授权，确保了系统合法帐户对数据库的操作安全。

解决办法

1.无关IP禁止访问

方法一：在Oracle服务器的SQLNet.Ora文件中设置允许访问的IP地址，或不允许访问的IP地址；

方法二：在Oracle服务器上使用NetManager工具设置；

2.用户密码为强口令

锁定不用的默认帐户，如scott；

更改使用的默认帐户的口令，这些帐户的密码是公开的，安装时自动建立，如帐户system密码manager为确保安全默认帐户必须修改密码；

密码使用强口令，即数字、特殊字符、字母组成的至少8未的密码；

设置密码失效的策略文件profile，可在控制台中设置。

3.用户赋予适当的权限

不要每个帐户都设置DBA权限，把系统所有操作暴露给每个用户；

每个帐户仅赋予它完成操作所需要的权限；不要轻易为帐户赋予delete或deleteany权限，确保数据不会被误删除；

数据库安全（sqlserver）

1、关闭服务器端的tcp/ip协议服务。

2、数据库用户登录方式选择sqlserver身份认证。

3、设置用户访问指定的数据库。

4、设置用户对数据库中的对象有指定的操作权限。

5、查看数据是否有定期自动备份的操作。

第四部分

IIS服务器安全测试

1、IIS基础服务组件安装情况。（根据系统情况合理的安装，减少安装不必要的服务控件）

2、查看IIS日志是否启用，日志存储路径以及日志记录选项

3、IIS主目录路径和目录访问权限的设置。

（