功能安全测试&安全渗透测试，一文讲清楚

本文我们将以围绕体系安全质量提升为目标，报告在功能安全测试&安全渗透测试上实践过程。
希望通过此篇文章，帮助大家更深入、透彻地了解安全测试。
安全渗透测试实践
安全前置扫描主要是辨认白盒毛病、黑盒毛病问题，针对JSRC类问题，需要通过渗透测试举行毛病发现。
安全测试类别
安全测试根据开展的阶段差异，测试对象差异，可以分为：功能安全测试、安全渗透测试。
以下是两者界说、两者的区别：

具体内容：

• 功能安全测试
  

在功能测试阶段举行，由各业务线测试工程师举行，主要包罗以下几个方面：
1、人员权限设置，是否满意需求文档中的说明：
1）是否初始化好所有的脚色；
2）每个脚色是否按最小权限举行功能配置。
2、权限测试：水平越权、垂直越权、交织越权。
3、敏感信息处理是否符合规范：
1）加密存储；
2）显示屏蔽；
3）脱敏导出；
4）操作安整日记记录。

• 安全渗透测试
  

功能安全测试

• 开展功能安全测试
  

Step1：确定项目是否需要安全评审
参考标准（泉源安全部）：

• 公司重点战略项目；
  
• 外网新体系；
  
• 大量外部人员利用的内网体系（建议15人以上）；
  
• 含重大贸易秘密，特别敏感性的体系；
  
• 新采购的乙方项目或外包项目；
  
• 上面几类体系在重大升级时。
  

Step2：依托SDL流程开展安全测试
Step3：测试阶段的功能安全测试
安全用例计划->测试执行->毛病报告。
Step4：上线前的提交渗透测试

• 功能安全在项目中开展
  

SDL测试阶段开展功能安全测试：
1）确定测试方案：功能安全测试、安全渗透测试、代码白盒扫描、应用黑盒扫描；
2）安全用例计划；
3）功能安全用例：基于功能点，从权限控制、越权类、数据类 维度举行用例计划。
SDL上线条件交安全渗透测试。
安全渗透测试

• 开展渗透测试
  

Step1:利用测试工具

• BurpSuite安装；
  
• 欣赏器代理配置：
  

• BurpSuite -Proxy监听配置：
  

• BurpSuite利用，欣赏器启用Proxy举行代理，通过BurpSuite举行数据抓取：
  

• Proxy-Repeater举行请求包的重发；
  
• Proxy-Intruder举行暴力爆破：选定变量参数--参数化--批量重发请求--结果获取分析。
  

Step2：测试执行
Step3：整理报告

• 常见毛病测试
  

权限绕过
界说：指权限控制功能不严谨，体系用户可以访问大概操作未授权的功能大概数据。
水平越权场景：当体系存在多个相同权限的用户时，A用户越权访问或操作到B用户的资源。
垂直越权场景：当体系存在差异权限的用户时，低权限用户越权访问或操作到高权限用户的资源。
未授权访问：用户在没有通过认证授权的情况下可以或许直接访问需要通过认证才能访问的页面大概信息。
SSRF（服务端请求伪造）
界说：由攻击者构造请求，由服务端发起请求的安全毛病，SSRF攻击的目标是外网无法访问的内部体系（正由于请求是服务端发起的，所以服务端能请求到与自身相连而与外网隔离的内部体系）。
存储XSS毛病
界说：跨站脚本攻击是一种针对网站应用程序的安全毛病攻击技术，是代码注入的一种。答应恶意用户将代码注入网页，其他用户在欣赏网页时会受到影响。恶意用户利用XSS代码攻击成功后，很大概获得很高的权限。
XSS分为：反射型，存储型，DOM型。
总结
本文主要报告了功能安全测试&安全渗透测试 的界说、区别、开展方案，以及实践举例。
这两中安全测试既可在项目开展SDL流程的过程中开展，同时也可将安全渗透测试单独拿出来，针对组内外网体系，专项举行渗透测试。
通过如许的测试，可以降低遗漏到JSRC外部白帽问题数。
 
感谢每一个认真阅读我文章的人，礼尚往来总是要有的，虽然不是什么很值钱的东西，如果你用得到的话可以直接拿走：

这些资料，对于【软件测试】的朋侪来说应该是最全面最完整的备战堆栈，这个堆栈也陪伴上万个测试工程师们走过最艰难的路程，希望也能帮助到你!有需要的小同伴可以点击下方小卡片领取   

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。