1）漏洞扫描。安全漏洞扫描一般需要借助特定的漏洞扫描器完成，漏洞扫描器其实就是一种能自动检测本地主机或远程端安全性弱点的程序。系统管理员通过漏洞扫描器能及时发现维护的信息系统中存在的安全漏洞，这样在保卫信息系统网络安全过程中可以有的放矢，及时对漏洞进行修补。按照常规标准划分，漏洞扫描一般分为两类，分别为网络漏洞扫描器（Net Scanner）和主机漏洞扫描器（Host Scanner）。网络漏洞扫描器是指通过网络，远程检测目标主机或网络系统的安全漏洞的程序，典型的程序包括ISS Internet Scanner、Satan等。主机漏洞扫描器是指在本地主机或网络系统上运行检测安全漏洞的程序，如著名的COPS、Tiger等软件。
2）功能验证。功能验证属于软件测试当中的黑盒测试方法，对涉及软件的安全功能，如权限管理功能、用户管理功能、认证功能、加密功能等进行测试，验证上述功能是否安全有效。进行黑盒测试的目的是为了模拟一个用户可能采取的恶意行为，观察Web应用系统及其配套的安全措施能否真正地起到防护过滤恶意行为的作用。
3）网络侦听。实际上，网络侦听是指在数据交互或数据通信过程中对数据进行截取并分析的过程。目前，比较通用的网络侦听技术就是捕获网络数据包，我们通常称为Capture，黑客可以通过该项技术盗取公司或个人有价值的数据，同理，测试人员一样可以利用该项技术测试Web应用软件或系统的安全性。
4）模拟攻击测试。模拟攻击测试对于安全测试来说是一种特殊的黑盒测试案例，我们通过模拟攻击的方式来验证信息系统或软件的安全防护能力，在数据处理与数据通信环境中常见的攻击包括冒充、重演、消息篡改、服务拒绝、内部攻击、外部攻击、陷阱门、特洛伊木马等。 4测试用例设计原则
一个完整的Web安全测试用例体系设计可以从身份验证、加密、输入验证、敏感数据、配置管理、授权、异常管理、会话管理、参数操作、审核和日志记录、部署与基础结构等几个方面入手。下面将详细描述测试用例设计时需要注意的要点。
1）数据加密设计原则。执行数据传输操作需要对某些数据进行信息加密和过滤，比如用户登录密码信息、用户信用卡信息等。此时，其他操作也需要相应进行，如解密发送到客户浏览器或用户电子邮箱、将信息存储到数据库等。目前的加密算法种类越来越多，设计越来越复杂，但数据加密的过程一般是可逆的，意思就是能对数据进行加密，也能对数据进行解密。一般可在后台数据库查看登录的账户和密码是否进行了加密。
2）目录设计原则。Web的目录安全是一个不容忽视的因素，如果Web服务器或Web应用程序的设计不合理，攻击者就可以通过简单的URL推测和替换，完全获取整个Web目录的权限，这样就对Web站点造成很大的安全性隐患。我们可以采取一定的预防措施，如在访问每个目录时设置index.htm，或者访问Web服务器的目录时对权限进行严格的设定，从而使发生安全问题的可能性尽可能地降低到最小程度。
3）登录设计原则。一般的Web应用站点都会采用登录或注册后使用的方式，所以必须对用户名和密码进行匹配校验，以防止用户非法登录。进行登录测试时，需要考虑的方面包括输入的密码是否区分大小写、是否有长度条件限制，最多可以尝试登录多少次，哪些文件或者页面需要登录后才能访问或下载等。
4）服务器脚本语言设计原则。脚本语言存在一定的安全隐患，每种脚本语言的细节略有不同，有些脚本语言允许访问根目录，其他脚本语言只允许访问邮件服务器，但是有经验的黑客可以通过脚本漏洞获取服务器的用户名和口令。设计测试用例时需确认站点使用了哪种脚本语言，并研究该语言的漏洞，还需要考虑是否存在没有经过授权就在服务器端编辑或放置脚本的情况。
5）SSL设计原则。现在越来越多的Web站点使用SSL安全协议进行数据传送。SSL是Secure Sockets Layer（安全套接字协议层）的缩写，是Netscape首先发布的网络数据安全传输协议。SSL的原理是通过私有密钥/公开密钥的加密技术（RSA），在TCP层和HTTP层之间对用户与服务器之间的通信进行加密，确保信息传递的安全性。SSL是在私人密钥和公共密钥的基础上进行工作，任何用户都可以获取公共密钥来加密数据，但解密数据需要使用相应的私人密钥。打开一个SSL站点后，有时候能看到浏览器弹出警告信息，地址栏的http变成https，对SSL进行测试的时候需要确认上述特征，以及站点是否具备时间链接限制等相关的安全保护措施。
5结束语
Web应用是一种典型的应用程序，Web应用本身越来越复杂，同时它所使用的开发语言和开发模型在不断发展，所有这些因素给测试带来了很大的难度。目前的安全测试主要依赖测试工程师的直觉和经验，Web安全测试被认为是一个耗时、代价昂贵的过程，因此，迫切需要设计一套系统的Web安全测试用例对Web应用进行全面的测试。本文正是基于以上目的，对Web安全漏洞进行分类，研究了Web安全测试内容，阐述了安全测试用例设计原则。
百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说计算机Web安全测试用例设计研究(2)在线全文阅读。
