Web应用安全测试：手工测试用例详解

"该文档提供了安全手工测试用例，涵盖了渗透测试中的多个关键领域，包括身份鉴别、登录控制、权限管理、越权测试、SQL注入、跨站点脚本(XSS)、文件上传、跨站点请求伪造(CSRF)等常见Web应用安全漏洞的测试方法。" **身份鉴别测试** 身份鉴别是确保用户身份安全的关键步骤。测试人员需要验证系统是否采用了足够的身份验证技术，例如用户名/密码配合数字证书(CA)。此外，系统应确保登录用户的唯一性，防止重复的用户标识，并对鉴别信息（如密码）的复杂性和安全性进行检查。 **登录控制** 登录控制确保只有经过验证的用户才能访问系统。测试应包括验证系统是否具有防止绕过登录模块的机制，以及是否在多次尝试失败后采取了锁定账户或增加验证码的措施。 **权限管理及越权测试** 权限管理测试主要关注横向和纵向越权操作。横向越权测试涉及攻击者访问与他们权限相同的用户资源，而纵向越权测试涉及低权限用户尝试访问高权限用户资源。测试人员需深入理解系统逻辑，检查每个页面是否进行了权限判断，资源标志是否匹配用户身份，并确保服务器端执行鉴权。 **SQL注入** SQL注入测试旨在发现和防止恶意SQL代码注入到系统中，以获取未授权的数据或执行恶意操作。测试人员可以使用各种方法，包括构造特殊输入，观察系统响应，以探测是否存在SQL注入漏洞。 **跨站脚本攻击(XSS)** XSS测试主要检查系统是否能有效防止恶意脚本在用户浏览器上执行。这包括反射型XSS、存储型XSS和DOM型XSS。测试人员应尝试注入脚本并观察是否能成功执行。 **跨站点请求伪造(CSRF)** CSRF测试确保系统能够防御恶意第三方发起的未经用户许可的请求。测试人员需要模拟攻击，检查系统是否要求用户令牌或其他防护机制来验证请求的来源。 **通过URL重定向钓鱼** 测试URL重定向的安全性，防止恶意重定向到钓鱼网站。这涉及到检查重定向目标是否经过验证，以及是否允许不受信任的输入触发重定向。 **信息验证** 确保系统对用户输入进行严格的验证，防止恶意数据注入。测试人员需检查所有用户可输入的字段，确保有适当的输入验证规则。 **文件上传** 文件上传测试关注系统是否能防止恶意文件如病毒或木马的上传。测试应包括验证文件类型的检查、文件大小限制以及上传后的安全处理。 **密码相关测试** 测试密码策略，如强度要求、找回机制、存储方式以及会话标识的安全性。密码应加密存储，会话标识需安全生成和管理。 **安全测试项** 系统应具备专门的登录控制模块，并采用多种身份鉴别技术结合。测试人员应检查这些机制是否正常工作，以保障系统安全。 总结，这个文档提供的测试用例集是一个全面的Web应用安全测试框架，适用于渗透测试和安全手工测试，旨在发现并修复潜在的安全漏洞。测试人员需要深入理解业务逻辑和系统架构，以执行有效的安全测试。