安全性测试相关问题解答整理
1.安全测试工程师和黑客有什么区别？ 回答者-疯狂的男子： 安全测试工程师是在授权的情况下对客户系统，进行黑盒或者白盒测试，并且是要尽可能多的发现问题，必须考虑全面彻底，而黑客的目的只有一个，是找到一个口子(系统漏洞)进行扩大化，不要求找多的漏洞。所以相对而言，安全工程师要求较高，但现实是残酷的，现在随便搞安全的，都可以叫工程师了。 2.在软件测试中如何做web安全测试？ 添加补充，发现网站存在sql注入漏洞，但是如何证明注入漏洞？ 对xss攻击，如何进行攻击？输入篡改的方法？ 使用工具扫描不用说了！工具太多！ 回答者—阿德玛： sql注入啥的证明很简单，通过注入点搞到数据库里的数据等，可以用sqlmap，也可以手注，或者自己写注入利用脚本；xss一般盲打看能不能收到cookie之类的；越权漏洞是两个账号测试，看是否能删除，修改，查看之类的。 3.如何做好日常安全测试工作？需要用到哪些工具？ 回答者—jacksonren1987： 安全可能跟其他测试不是特别一样，用我常说的是“要知其然，还要知其所以然”，大部分开发人员可能并不了解一些安全漏洞，所以很多时候你提出的问题开发团队无法给出很好的回复。这时候可能需要我们去“教”开发人员写代码。一个好的安全人员需要了解原理、熟悉测试手段、熟悉防范措施，然后按照合理的安全测试流程去工作。具体的流程可以参考我写的这篇文章http://www.besttest.cn/的自学手册中“安全测试自学路线”。 至于工具，手工测试我比较推荐burpsuite，辅助一些专用软件 sqlmap，csrftester等 4.软件安全测试架构组成部分以及如何实施的？ 回答者—匿名用户： A:谈安全测试架构，首先我们需要对测试架构这个概念有一个了解。这里的架构不仅仅指一个自动化或者半自动化测试框架，而包含了更多问题。在软件测试活动中，一个测试架构师要解决什么问题？ 例如：如何更好的指导开发工程师写出更高效的代码？如何用更快捷高效的办法来设计测试用例？如何提高测试覆盖率？如何完成复杂系统的非功能性（性能、安全性、兼容性、可靠性等）？能否对测试技术的发展趋势做出正确判断？等等一系列问题 测试架构是为解决上述问题而产生的，安全测试架构也是如此。大体上看可以分为软件系统技术架构和软件测试框架两部分。第一部分也是包括需要对安全测试点进行合理的划分、归类，建立用例模型，设计合理的测试结构；从测试工作角度说，需要建立合适的测试管理系统；从技术发展趋势上说，包括研发新的测试方法，并借助测试工具来实现。 至于说软件测试架构这一部分，其实也是集成测试环境、测试脚本分层处理等，从安全测试角度来看，更多的是如何将安全测试套件与部分半自动化工具集成起来。这里我推荐的是以Burpsuite为核心，以sqlmap等半自动化开源测试工具的模式。现在网上论坛关于安全测试介绍相对较少，相对而言，Besttest网站上关于安全测试的内容，尤其是安全测试自学路线(超链)能给安全测试学习者很大的启发。 5.软件安全测试技术和软件漏洞挖掘技术是相同的么？思路一样么？ 回复者-Stone Charles： 安全测试比渗透测试的范围要更大些 例如安全合规性测试，也是一种安全测试，但与渗透测试无关。 专门针对安全功能和组件的测试，也是安全测试的一种，但也跟专门的渗透测试无关。 6.APP安全测试与普通B/S架构的渗透测试有什么区别呢？ 回复者-知乎用户： b/s架构和app测试其实没多大变化，app的漏洞可能还会在app上在重新在出现， b/s偏向的更多的是传统的web安全，而app，转变成为移动安全，这里不仅仅谈web安全，因为安全测试和渗透测试这2个概念其实并不相同，很容易混淆。 从传统安全来讲这2者区别： 安全测试：方向是查找系统脆弱点威胁建模，告诉你的系统存在哪些风险，而大多不会去关注漏洞的可利用性。 7.用appscan工具，如何较好的实现网站系统的安全性测试？ 回答者—jacksonren1987： appscan，webinspect这两种工具的使用，其实我个人是并不推荐的，一来自动化审计所出现的bug漏报错报比较严重，二来过于依赖自动审计工具，对于其提出的问题，你没有原理的了解没办法知道问题产生的原因；三来开发人员有时需要你去指导他们修复一些安全问题，使用自动审计工具你也没办法去了解防范手段等；四是对于测试人员而言，自动审计对于自己的提高也是毫无裨益的 8.做标准的安全渗透测试方案，要学什么？ 想毕业后做渗透测试的工作。确不知道具体要学那些，才能进入这种公司。 求人发一份详细资料。 回答者-lxghost： 1.重要的是知道渗透测试是需要授权的，请遵守法律。 2.标准是PTES: Penetration Testing Execution Standard http://netsec.ccert.edu.cn/hacking/files/2011/07/PTES_MindMap_CN1.pdf 不过实际项目中没那么标准，扫描器和手工各一半，关键是报告要写得好。 3.学好基础知识，知道一个网站是怎么建立和维护的，能看懂代码。 少看别人的文章，不要只会模仿，自己多动手实践，学会思考。
