信息系统安全测试技术的研究

1、    信息系统安全测试技术的研究    钱力摘 要：本文旨在阐述信息系统安全测试技术，首先对整个安全测试框架进行阐述，介绍了安全测试技术的重要性，然后着重学习了安全测试技术，主要包括数据流分析、控制流分析等在内的代码静态分析技术以及模仿黑客对信息系统进行攻击的渗透测试技术，从而实现信息系统的安全测试。关键词：安全测试技术；静态分析；渗透测试1 引言随着社会的不断发展以及科学技术的不断进步，信息系统已经成为社会不可分割的一部分，在社会的各个领域中广泛应用。随着人们业务需求的不断拓展，信息系统的功能也不断庞大，设计的模块也越来越多，这就使得人们对信息系统的

2、正常完整的运行有着更高的要求。在信息系统开发伊始，人们便希望通过某种方法和技术将开发的信息系统能够正确无误地投入到生产环境中，此时软件测试应运而生。软件测试的的种类有很多，最常见的应用最早的是对信息系统的功能测试，随着时间的推移和技术的发展，功能测试的方法、技术以及策略等都已经趋于成熟，而信息系统的结构不断复杂、功能不断繁多，使得其他方面的需求也逐渐被重视起来，例如信息系统在实现軟件功能时是否快速地正确地响应，是否能够保证在整个运行过程中保证信息的安全等，所以对于信息系统的安全测试也逐渐被人们重视起来，逐渐成为主流的测试技术应用在软件开发的过程中。所以对于信息系统安全测试技术的研究对于信息系统

3、的开发来说，就有非常重要的现实意义。2 安全测试的主要框架对于信息系统的安全测试，需要有良好的测试框架支撑，只有这样才能很好地开展安全测试，很好地认识安全测试在什么阶段做什么事情。如下图所示，为信息系统安全测试的主要应用框架2 示意图。对信息系统的安全测试需要一个完整的安全测试体系框架来支撑，对待交付的新系统进行安全测试，首先要制定详细的安全测试策略，从而指导安全测试的过程以及安全测试实践。在此基础上，对信息系统的安全测试需要有测试标准，即对测试的内容以及缺陷的定位提供最重要的依据。同时需要对整个信息系统安全知识点和软件测试方法的深入了解，并且掌握当前最流行的安全测试工具以及相关的安全技术知识

4、。最后，根据制定的安全测试策略以及掌握的安全测试知识，就可以根据信息系统的基本需求中的关于安全问题的描述开展安全测试。整体来看，安全测试与普通的软件测试没有太大的区别，只是在测试技术或测试工具上有不同，所以对于一个熟悉软件测试的人员来说，开展安全测试最重要的就是掌握软件安全技术以及软件安全测试技术的知识。3 安全测试技术及其原理软件安全测试技术大体上包含两部分，第一就是静态测试，第二就是动态测试。简单来说，静态测试就是不实际运行被测信息系统，直接对软件的代码、文档等进行测试，而动态测试则要运行被测系统，然后按照相应的方法去对被测信息系统执行相应的操作，最后将被测信息系统得出的结果与期望的结果进

5、行对比，如果与期望结果相同，则说明被测系统符合信息系统规格需求描述，如果不符合，则说明被测信息系统存在缺陷。（1）静态分析技术。信息系统的安全测试的静态测试1，主要是采用静态分析技术，对信息系统的代码进行静态分析。常见的静态分析方法有对数据流的分析方法、控制流分析方法、语义分析方法、结构分析方法、配置分析方法。其中数据流分析方法就是跟踪代码的数据传递过程，深入跟踪并分析数据的声明、定义、赋值、使用、消亡等过程，然后判断哪些数据在数据的声明周期中是否被外部的输入或用户操作或其他非法操作感染，并被传递到那个函数等，并分析可能造成的危害，从而识别sql注入、命令注入等安全漏洞。控制流分析方法则是对代

6、码的程序操作流程或者代码的执行顺序进行分析，判断整个代码是否出现恶意跳转或者非法路径操作，从而识别代码中是否存在安全漏洞。语义分析方法则是对代码的各种函数或者其他api进行分析，判断程序内部是否可能出现安全漏洞，该方法主要识别系统的缓冲区溢出等主要安全问题。结构分析方法主要对代码的程序结构、函数的构建方式等进行判断识别，从而发现可能潜在的安全漏洞。配置分析方法则是对主要的配置文件、配置规则等进行分析来发现潜在的安全漏洞。（2）渗透测试技术。对信息系统的安全动态测试则是渗透测试，该测试技术属于黑盒测试的范畴，即在不了解信息系统内部结构和运作机制的情况下，按照网络黑客攻击信息系统的方法来对其进行检

7、测，从而发现信息系统存在的安全漏洞。渗透测试针对不同的安全漏洞采用的测试方法有所不同，以sql注入为例，采用渗透测试的方法就有很多。首先，对信息系统进行安全渗透测试，要验证信息系统所有的输入点，包括常见的get，post，cookie以及其他的url地址的http请求；然后使用常见的sql对字符串的引用符合、语句分割符号以及注释符号，配合sql关键子and或者or来构建sql注入字符，从而构成了能够注入sql信息的url请求。在构建注入请求时，要保证整个url的有效性，包括输入合法的判断以及长度是否越界的判断。 此外，还可以使用union操作符伪造查询请求或使用数据库存储过程进行盲注来对信息系

8、统的sql注入漏洞进行测试。信息系统的安全漏洞由很多，测试方法也大同小异，但是通过手工测试的方法来开展安全测试需要浪费大量的人力和物力，此时可以通过工具来实现对信息系统的测试。惠普的webinspect是商业的非常有效的渗透测试工具，可以自动地对sql注入、跨站脚本攻击等各种安全漏洞进行扫描，并生成专业的测试包括，从而实现安全测试的过程。4 总结信息系统的安全测试技术主要包括了对代码的静态分析技术以及对系统的渗透测试技术，依照两个测试技术，可以对信息系统进行安全测试，并对潜在的安全漏洞进行报告，最后通过开发人员修复安全漏洞，最终完成对信息系统的安全测试过程。参考文献：1王春喜，欧阳劲松.系统功能安全测试技术研究j.自动化仪表，2006（s1）.2江常青，邹琪，林家骏. 信息系统安全测试框架j.计算机工程，2008（02）.3程秀权.信息系统安全规划框架与方法j.现代电信科技，2007（06）.山东工