網站測試中如何做好安全性測試

 軟件測試每周一問：隨著網絡發展的趨勢，對于網站的安全性的要求也越來越高，很多網站都存在被黑客攻擊的漏洞，你在網站測試中有做到安全性測試嗎？你覺得安全測試應該從哪些方面來檢查？歡迎大家討論交流！
       會員賣燒烤的魚的精彩回答：
       安全性測試（security testing）是有關驗證應用程序的安全服務和識別潛在安全性缺陷的過程。
       注意：安全性測試并不最終證明應用程序是安全的，而是用于驗證所設立策略的有效性，這些對策是基于威脅分析階段所做的假設而選擇的。
       以下是我讀<<軟件評測試教程>>中的web安全性測試章節內容，并進行修改的筆記，前面看了好多朋友寫的，不過不是很全，希望對大家有所幫助，建議大家還是買本<<軟件評測試教程>>此書絕對物超所值^_^
       web安全性測試
       一個完整的web安全性測試可以從部署與基礎結構、輸入驗證、身份驗證、授權、配置管理、敏感數據、會話管理、加密。參數操作、異常管理、審核和日志記錄等幾個方面入手。
       1.安全體系測試
       1)部署與基礎結構
       網絡是否提供了安全的通信
       部署拓撲結構是否包括內部的防火墻
       部署拓撲結構中是否包括遠程應用程序服務器
       基礎結構安全性需求的限制是什么
       目標環境支持怎樣的信任級別
       2)輸入驗證
       如何驗證輸入
       a.是否清楚入口點
       b.是否清楚信任邊界
       c.是否驗證web頁輸入
       d.是否對傳遞到組件或web服務的參數進行驗證
       e.是否驗證從數據庫中檢索的數據
       f.是否將方法集中起來
       g.是否依賴客戶端的驗證
       h.應用程序是否易受sql注入攻擊
       i.應用程序是否易受xss攻擊
       如何處理輸入
       3)身份驗證
       是否區分公共訪問和受限訪問
       是否明確服務帳戶要求
       如何驗證調用者身份
       如何驗證數據庫的身份
       是否強制試用帳戶管理措施
       4)授權
       如何向最終用戶授權
       如何在數據庫中授權應用程序
       如何將訪問限定于系統級資源
       5)配置管理
       是否支持遠程管理
       是否保證配置存儲的安全
       是否隔離管理員特權

原文轉自：http://www.anti-gravitydesign.com