![系统安全测试报告模版V1.0_第1页](http://file4.renrendoc.com/view/8c1f2fd6a241a30f7046c26451701be1/8c1f2fd6a241a30f7046c26451701be11.gif)
![系统安全测试报告模版V1.0_第2页](http://file4.renrendoc.com/view/8c1f2fd6a241a30f7046c26451701be1/8c1f2fd6a241a30f7046c26451701be12.gif)
![系统安全测试报告模版V1.0_第3页](http://file4.renrendoc.com/view/8c1f2fd6a241a30f7046c26451701be1/8c1f2fd6a241a30f7046c26451701be13.gif)
![系统安全测试报告模版V1.0_第4页](http://file4.renrendoc.com/view/8c1f2fd6a241a30f7046c26451701be1/8c1f2fd6a241a30f7046c26451701be14.gif)
![系统安全测试报告模版V1.0_第5页](http://file4.renrendoc.com/view/8c1f2fd6a241a30f7046c26451701be1/8c1f2fd6a241a30f7046c26451701be15.gif)
版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
4/10国信嘉宁数据技术有限公司XXX系统安全测试报告 创建人:xxx 创建时间:xxxx年xx月xx日 确认时间: 当前版本:V1.0文档变更记录文件状态:[√]草稿[]正式发布[]废止文档编号:P01当前版本:V1.0编制:xxx审核人:发布日期:版本编号修订类型修订章节修订内容编制人/日期审核人/日期V1.0A全文初稿xxx/160808*修订类型分为:A-ADDED,M-MODIFIED,D-DELETED。测试概要测试的概要介绍,包括测试范围、测试方法、测试工具、测试环境等,主要是测试情况简介。测试范围请在此处说明此次测试的测试范围,可以参考安全测试方案中描述的测试范围。测试方法和测试工具简要介绍测试中采用的方法和工具示例:Xxx系统主要使用了输入安全、访问控制安全、认证与会话管理、缓冲区溢出、拒绝服务、不安全的配置管理、注入式漏洞等安全测试方案。针对以上提供的测试方案进行对应的测试用例和测试脚本编写,并使用Websecurify作为测试工具。2.2.1.验证输入安全Xxx系统主要对没有被验证的输入进行如下测试数据类型(字符串,整型,实数,等)、允许的字符集、最小和最大的长度、是否允许空输入、参数是否是必须的、重复是否允许、数值范围、特定的值(枚举型)、特定的模式(正则表达式)2.2.2.访问控制安全需要验证用户身份以及权限的页面,复制该页面的url地址,关闭该页面以后,查看是否可以直接进入该复制好的地址例:从一个页面链到另一个页面的间隙可以看到URL地址直接输入该地址,可以看到自己没有权限的页面信息2.2.3.认证与会话管理例:对Grid、Label、Treeview类的输入框未做验证,输入的内容会按照html语法解析出来2.2.4.缓冲区溢出没有加密关键数据例:view-source:http地址可以查看源代码在页面输入密码,页面显示的是*****,右键,查看源文件就可以看见刚才输入的密码。2.2.5.拒绝服务分析:攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序,最终使程序陷入瘫痪。需要做负载均衡来对付。2.2.6.不安全的配置管理分析:Config中的链接字符串以及用户信息,邮件,数据存储信息都需要加以保护程序员应该作的:配置所有的安全机制,关掉所有不使用的服务,设置角色权限帐号,使用日志和警报。分析:用户使用缓冲区溢出来破坏web应用程序的栈,通过发送特别编写的代码到web程序中,攻击者可以让web应用程序来执行任意代码。2.2.7.注入式漏洞例:一个验证用户登陆的页面,如果使用的sql语句为:Select*fromtableAwhereusername=’’+username+’’andpassword…..Sql输入‘or1=1――就可以不输入任何password进行攻击或者是半角状态下的用户名与密码均为:‘or’‘=’。2.2.8.不恰当的异常处理分析:程序在抛出异常的时候给出了比较详细的内部错误信息,暴露了不应该显示的执行细节,网站存在潜在漏洞。2.2.9.不安全的存储分析:帐号列表:系统不应该允许用户浏览到网站所有的帐号,如果必须要一个用户列表,推荐使用某种形式的假名(屏幕名)来指向实际的帐号。浏览器缓存:认证和会话数据不应该作为GET的一部分来发送,应该使用POST。2.2.10.跨站脚本(XSS)分析:攻击者使用跨站脚本来发送恶意代码给没有发觉的用户,窃取他机器上的任意资料测试方法:●HTML标签:<…>…</…>●转义字符:&(&);<(<);>(>);(空格);●脚本语言:<script.language=‘javascript’>…Alert(‘’)</script>●特殊字符:‘’<>/●最小和最大的长度●是否允许空输入2.2.11.测试工具介绍:工具名称用途生产厂商版本以上为示例内容测试环境与配置在此次项目的测试中,所使用到的环境和配置见下表:硬件环境序号服务器厂商/型号配置/数量IP操作系统软件环境序号系统软件厂商版本备注测试组织测试人员序号姓名角色职责测试时间细分及投入人力以下为测试过程中多个测试轮次的时间和人员安排以及工作内容的简单描述:测试轮次子系统/子模块起止日期总天数测试人员测试结果及缺陷分析测试执行情况统计分析子系统/子模块测试案例数发现缺陷数遗留缺陷列表测试过程共发现问题:xx个。共解决问题:xx个。未解决问题:xx个。所测试项目中所遗留的缺陷详见下表:缺陷ID缺陷概要遗留原因分析预防与改进措施测试结论示例:1、本次测试覆盖全面,测试数据基础合理,测试有效。2、SQL注入测试,已执行测试用例,问题回归后测试通过
3、跨站脚本测试,测试发现文本框对尖括号、百分号、单引号、圆括号、双引号进行了转义,测试通过。
4、跨目录测试,已执行测试用例,路径已加密,无漏洞,测试通过5、用户权限控制和权限数据控制安全测
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 2024《饭店用工合同文本》
- 2024电商产品分销合同
- 中考英语专项复习:动词及动词短语 练习卷
- 2024人员借调合同格式范本
- 河南省洛阳嵩县联考2023-2024学年八年级英语第二学期期末复习检测模拟试题含答案
- 河南省洛阳市洛宁县重点达标名校2025届初三“二诊”数学试题含解析
- 河南省洛阳市东方第二中学2025年初三中考适应性月考(二)生物试题含解析
- 河南省临颍县重点达标名校2025年3月初三月考英语试题含答案
- 河南省开封市杞县2023-2024学年四下数学期末考试试题含解析
- 2024合同模板婚纱礼服租赁合同范本
- 氯碱化工工艺
- 压铸件常见缺陷及解决办法手册
- 压铆机操作规程
- 项目工程备忘录实用文档
- 评标专家考试试题库共200题
- 讲座三自我探索
- 2022上半年北京市英语统招专升本二轮练习题【带答案】
- 医疗机构医院信用承诺书(通用模板)
- GB/T 23547-2009浓酱兼香型白酒
- GB/T 20284-2006建筑材料或制品的单体燃烧试验
- GB/T 11022-2011高压开关设备和控制设备标准的共用技术要求
评论
0/150
提交评论