系统安全测试方案_软件安全测试报告

测试目标

发现系统存在的安全隐患

发现系统设计缺陷：权限控制，数据加密，数据导出等。

测试范围

测试的系统：

• 1
• 2
• 3

测试内容

系统设计方案review，开放性测试（adhoc）

安全扫描：扫描工具-kali

• web服务器安全漏洞
• web服务器错误配置
• SQL注入
• XSS（跨站脚本攻击）
• CRLF注入
• 目录遍历
• 权限认证
• 字典遍历

常见场景（持续补充）：

1、仅前端控制权限，后端无限制

      exa. 当前登录用户的session，请求权限内的资源ok，更改leads为未关注，是否显示

      如果为传employee_id 的接口，传和当前登录账号不一样的账号，是否显示数据

2、是否有反爬虫机制

     访问次数限制，访问受限资源，黑名单（IP，用户）

3、敏感数据是否加密

4、接需求的时候，考虑安全，性能风险

5、不连VPN（数据库），内网（in）可以访问--暴露在公网，伪造信息

6、数据库备份，主从备份，数据的明文存储（用户名，密码，身份证号，手机号）

测试执行

人员：

时间：

扫描工具：原则上扫描工具必须下班后执行。

风险规避

可能会对线上系统造成的影响

运维备案：

系统备份：

应急方案：

版权声明：

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若内容造成侵权、违法违规、事实不符，请将相关资料发送至xkadmin@xkablog.com进行投诉反馈，一经查实，立即处理！

转载请注明出处，原文链接：https://www.xkablog.com/te-aq/8343.html