logo资料库

系统安全测试报告模版.docx

发布时间：2022-06-26 发布人：admin 分类：说明书 资料大小：0.04M 资料格式：docx 举报 版权申诉
第1页 / 共9页
第2页 / 共9页
第3页 / 共9页
第4页 / 共9页
第5页 / 共9页
第6页 / 共9页
第7页 / 共9页
第8页 / 共9页
资料共9页，剩余部分请下载后查看
    1.简介
    1.1.编写目的
    1.2.项目背景
    1.3.系统简介
    1.4.术语定义和缩写词
    1.5.参考资料
    2.测试概要
    2.1.测试范围
    2.2.测试方法和测试工具
    2.2.1． 验证输入安全
    2.2.2. 访问控制安全
    2.2.3. 认证与会话管理
    2.2.4. 缓冲区溢出
    2.2.5. 拒绝服务
    2.2.6. 不
    2.2.7. 注入式漏洞
    2.2.8. 不恰当的异常处理
    2.2.9. 不安全的
    2.2.10. 跨站脚本（XSS）
    2.2.11. 测试工具介绍：
    2.3.测试环境与配置
    3.测试组织
    3.1.测试人员
    3.2.测试时间细分及投入人力
    4.测试结果及缺陷分析
    4.1.测试执行情况统计分析
    4.2.遗留缺陷列表
    5.测试结论
    6.测试建议
    系统安全测试报告 国信嘉宁数据技术有限公司 XXX 系统 安全测试报告 创建人 ：xxx 创建时间：xxxx 年 xx 月 xx 日 确认时间： 当前版本：V1.0
    系统安全测试报告 目 录 1. 2. 3. 4. 5. 6. 1.1. 1.2. 1.3. 1.4. 1.5. 2.1. 2.2. 2.3. 简介 .................................................................................................................................... 4 编写目的 .................................................................................................................... 4 项目背景 .................................................................................................................... 4 系统简介 .................................................................................................................... 4 术语定义和缩写词 ....................................................................................................4 参考资料 .................................................................................................................... 4 测试概要 ............................................................................................................................ 5 测试范围 .................................................................................................................... 5 测试方法和测试工具................................................................................................5 测试环境与配置........................................................................................................8 测试组织 ............................................................................................................................ 8 测试人员 .................................................................................................................... 8 测试时间细分及投入人力........................................................................................8 测试结果及缺陷分析........................................................................................................9 测试执行情况统计分析 ............................................................................................9 遗留缺陷列表 ............................................................................................................ 9 测试结论 ............................................................................................................................ 9 测试建议 .......................................................................................................................... 10 3.1. 3.2. 4.1. 4.2.
    系统安全测试报告 1. 简介 1.1. 编写目的 描述编写本测试报告需要说明的内容。 如：本报告为 XX 项目的安全测试报告，目的在考察系统安全性、测试结论以及 测试建议。 1.2. 项目背景 对项目背景进行简要说明，可从需求文档或测试方案中获取。 1.3. 系统简介 对所测试项目进行简要的介绍，如果有设计说明书可以参考设计说明书，最好添 加上架构图和拓扑图。 1.4. 术语定义和缩写词 列出设计本系统/项目的专用术语和缩写语约定。对于技术相关的名词和与多义 词一定要注明清楚，以便阅读时不会产生歧义。 如： 漏洞扫描： SQL 注入： 1.5. 参考资料 请列出编写测试报告时所参考的资料、文档。 需求、设计、测试案例、手册以及其他项目文档都是范围内可参考的资料。 测试使用的国家标准、行业指标、公司规范和质量手册等等。 4 / 9
    系统安全测试报告 2. 测试概要 测试的概要介绍，包括测试范围、测试方法、测试工具、测试环境等，主要是测 试情况简介。 2.1. 测试范围 请在此处说明此次测试的测试范围，可以参考安全测试方案中描述的测试范围。 2.2. 测试方法和测试工具 简要介绍测试中采用的方法和工具 示例： Xxx 系统主要使用了输入安全、访问控制安全、认证与会话管理、缓冲区溢 出、拒绝服务、不安全的配置管理、注入式漏洞等安全测试方案。针对以上提供 的测试方案进行对应的测试用例和测试脚本编写，并使用 Websecurify 作为测试 工具。 2.2.1． 验证输入安全 Xxx 系统主要对没有被验证的输入进行如下测试 数据类型（字符串，整型，实数，等）、允许的字符集、最小和最大的长度、 是否允许空输入、参数是否是必须的、重复是否允许、数值范围、特定的值（枚 举型）、特定的模式（正则表达式） 2.2.2. 访问控制安全 需要验证用户身份以及权限的页面，复制该页面的 url 地址，关闭该页面以 后，查看是否可以直接进入该复制好的地址 例：从一个页面链到另一个页面的间隙可以看到 URL 地址 直接输入该地址，可以看到自己没有权限的页面信息 5 / 9
    系统安全测试报告 2.2.3. 认证与会话管理 例：对 Grid、Label、Tree view 类的输入框未做验证，输入的内容会按照 html 语法解析出来 2.2.4. 缓冲区溢出 没有加密关键数据 例：view－source：http 地址可以查看源代码 在页面输入密码，页面显示的是 *****, 右键，查看源文件就可以看见刚才 输入的密码。 2.2.5. 拒绝服务 分析：攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序，最终 使程序陷入瘫痪。需要做负载均衡来对付。 2.2.6. 不安全的配置管理 分析：Config 中的链接字符串以及用户信息，邮件，数据存储信息都需要 加以保护 程序员应该作的： 配置所有的安全机制，关掉所有不使用的服务，设置角 色权限帐号，使用日志和警报。 分析：用户使用缓冲区溢出来破坏 web 应用程序的栈，通过发送特别编写的 代码到 web 程序中，攻击者可以让 web 应用程序来执行任意代码。 2.2.7. 注入式漏洞 例：一个验证用户登陆的页面， 如果使用的 sql 语句为： Select * from table A where username＝’’ + username+’’ and pass word ….. 6 / 9
    系统安全测试报告 Sql 输入 ‘ or 1＝1 ―― 就可以不输入任何 password 进行攻击 或者是半角状态下的用户名与密码均为：‘or’‘=’。 2.2.8. 不恰当的异常处理 分析：程序在抛出异常的时候给出了比较详细的内部错误信息，暴露了不应 该显示的执行细节，网站存在潜在漏洞。 2.2.9. 不安全的存储 分析：帐号列表：系统不应该允许用户浏览到网站所有的帐号，如果必须要 一个用户列表，推荐使用某种形式的假名（屏幕名）来指向实际的帐号。 浏览器缓存：认证和会话数据不应该作为 GET 的一部分来发送，应该使用 POST。 2.2.10. 跨站脚本（XSS） 分析：攻击者使用跨站脚本来发送恶意代码给没有发觉的用户，窃取他机器 上的任意资料 测试方法： ● HTML 标签：<…>… ● 转义字符：&(&)；<(<)；>(>)； (空格) ； ● 脚本语言： …Alert(‘’) ● 特殊字符：‘ ’ < > / ● 最小和最大的长度 ● 是否允许空输入 7 / 9
    系统安全测试报告 2.2.11. 测试工具介绍： 工具名称 用途 生产厂商 版本 以上为示例内容 2.3. 测试环境与配置 在此次项目的测试中，所使用到的环境和配置见下表： 硬件环境 序号 软件环境 序号 服务器 厂商/型号 配置/数 IP 操作系统 量 系统软件 厂商 版本 备注 3. 测试组织 3.1. 测试人员 序号 姓名 角色 职责 3.2. 测试时间细分及投入人力 以下为测试过程中多个测试轮次的时间和人员安排以及工作内容的简单描述： 8 / 9
    测试轮次 子系统/子模块 起止日期 总天数 测试人员 系统安全测试报告 4. 测试结果及缺陷分析 4.1. 测试执行情况统计分析 子系统/子模块 测试案例数 发现缺陷数 4.2. 遗留缺陷列表 测试过程共发现问题：xx 个。共解决问题：xx 个。未解决问题：xx 个。 所测试项目中所遗留的缺陷详见下表： 缺陷 ID 缺陷概要 遗留原因分析 预防与改进措施 5. 测试结论 示例： 1、本次测试覆盖全面，测试数据基础合理，测试有效。 2、SQL 注入测试，已执行测试用例，问题回归后测试通过 3、跨站脚本测试，测试发现文本框对尖括号、百分号、单引号、圆括号、 双引号进行了转义，测试通过。 4、跨目录测试，已执行测试用例，路径已加密，无漏洞，测试通过 5、用户权限控制和权限数据控制安全测试，已执行测试用例，问题经回归 后测试通过。 9 / 9
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料