軟件測試2019：第五次做業

---恢復內容開始---

1、回答下述問題：

1.闡述常見的Web安全測試有幾種類型？參考教材P173.

答：

（1）數據加密。某些數據須要進行信息加密和過濾後才能在客戶端和服務器之間進行傳輸，包括用戶登陸密碼、信用卡信息等。數據加密的安全性還包括加密的算法、密鑰的安全性。

（2）登陸或身份驗證。通常的應用站點都會使用登陸或者註冊後使用的方式，所以，必須對用戶名和匹配的密碼進行校驗，以阻止非法用戶登陸。在進行登陸測試的時候，須要考慮輸入的密碼是都大小寫敏感、是否有長度和條件限制，最多能夠嘗試多少次登陸、哪些頁面或者文件須要登陸後才能進行訪問/下載等。身份驗證還包括調用者身份、數據庫的身份、用戶受權等，並區分公共訪問和受限訪問，受限訪問的資源。

（3）輸入驗證。在進行web安全性測試時，每一個輸入域都須要用標準的機制驗證，長度、數據類型等符合設定要求，不容許輸入JavaScript代碼，包括驗證從數據庫中檢索的數據、傳遞到組件或web服務的參數等。

（4）SQL注入。從客戶端提交特殊的代碼，從而收集程序及服務器的信息，從而獲取必要的數據庫信息，而後基於這些信息，能夠注入某些參數，繞過程序的保護，針對數據庫服務器進行攻擊。

（5）超時限制。web應用系統通常會設定「超時」限制，當用戶長時間不作任何操做時，須要從新登陸才能打開其餘頁面。會話的安全性還包括交換會話標識符、會話存儲狀態等的安全性。

（6）目錄。web的安全目錄也是不能忽視的。若是web程序或者web服務器的處理不適合，能夠經過簡單的URL替換和推測，使整個web目錄暴露出來，帶來嚴重的安全隱患。能夠採用某些方法將這種隱患降到最小程度，如每一個目錄下都存在index.htm，以及嚴格設定web服務器的目錄訪問權限。

（7）操做留痕。爲了保證web應用系統的安全性，日誌文件是相當重要的。須要測試相關信息是否寫進入了日誌文件，是否可追蹤。

2、安全測試工具調研

1. 概述

列出常見的安全測試工具，畫一張表，加以說明。格式以下：

序號	安全測試工具	商用 OR 免費	檢測對象（二進制代碼/源代碼）	簡介
1	Metaspoit	免費	源代碼	它是一個強大的開源平臺，供開發，測試和使用惡意代碼，這個環境爲滲透測試，shellcode 編寫和漏洞研究提供了一個可靠平臺。
2	Nessus	商用	源代碼	Nessus 是目前全世界最多人使用的系統漏洞掃描與分析軟件。提供完整的電腦漏洞掃描服務, 並隨時更新其漏洞數據庫。Nessus 可同時在本機或遠端上搖控, 進行系統的漏洞分析掃描。可自行定義插件(Plug-in)。完整支持SSL (Secure Socket Layer)。
3	w3af	免費	源代碼	web應用/網站專業掃描工具
4	Pangolin	商用	源代碼	Pangolin（中文譯名爲穿山甲）一款幫助滲透測試人員進行sql注入測試的安全工具。Pangolin可以經過一系列很是簡單的操做，達到最大化的攻擊測試效果。它從檢測注入開始到最後控制目標系統都給出了測試步驟。
5	Nmap	免費	二進制代碼	nmap是一個網絡鏈接端掃描軟件，用來掃描網上電腦開放的網絡鏈接端。肯定哪些服務運行在哪些鏈接端，而且推斷計算機運行哪一個操做系統（這是亦稱 fingerprinting）
6	Wireshark	免費	二進制代碼	Wireshark（前稱Ethereal）是一個網絡封包分析軟件。網絡封包分析軟件的功能是擷取網絡封包，並儘量顯示出最爲詳細的網絡封包資料。
7	Waptiti	免費	源代碼	由Python語言編寫的、開源的安全測試工具，直接對網頁進行掃描，可用於web應用程序漏洞掃描和安全檢測。
8	Nikto	免費	源代碼	開源的web服務器掃描程序，能夠對web服務器的多種項目進行全面的測試。
……

2. 安全測試工具試用

選擇一個開源的安全測試工具（能夠參考教材 P176），開展試用，寫一個試用報告。報告內容

1）記錄完整的測試過程（工具安裝、環境設置、測試過程、結果分析），包括腳本文件；
2） 提交安全測試報告，描述所作的測試、遇到的問題、結果分析等，要包括主要的測試運行截圖。

答：我選擇的是metasploit

①安裝

 

 

 

②配置環境變量

 

③用cmd打開

經過show命令查看模塊

用options命令

使用set命令

生成URL並在瀏覽器中打開，出錯。

 

總結：一開始想要下載許多軟件但都不怎麼好下載，有的不方便使用，因此最終選擇了metasploit。一開始不知道怎麼使用，後來使用百度，根據教學步驟，配置了環境變量而後打開。作這個實驗真的須要耐心。

---恢復內容結束---

1、回答下述問題：

1.闡述常見的Web安全測試有幾種類型？參考教材P173.

答：

（1）數據加密。某些數據須要進行信息加密和過濾後才能在客戶端和服務器之間進行傳輸，包括用戶登陸密碼、信用卡信息等。數據加密的安全性還包括加密的算法、密鑰的安全性。

（2）登陸或身份驗證。通常的應用站點都會使用登陸或者註冊後使用的方式，所以，必須對用戶名和匹配的密碼進行校驗，以阻止非法用戶登陸。在進行登陸測試的時候，須要考慮輸入的密碼是都大小寫敏感、是否有長度和條件限制，最多能夠嘗試多少次登陸、哪些頁面或者文件須要登陸後才能進行訪問/下載等。身份驗證還包括調用者身份、數據庫的身份、用戶受權等，並區分公共訪問和受限訪問，受限訪問的資源。

（3）輸入驗證。在進行web安全性測試時，每一個輸入域都須要用標準的機制驗證，長度、數據類型等符合設定要求，不容許輸入JavaScript代碼，包括驗證從數據庫中檢索的數據、傳遞到組件或web服務的參數等。

（4）SQL注入。從客戶端提交特殊的代碼，從而收集程序及服務器的信息，從而獲取必要的數據庫信息，而後基於這些信息，能夠注入某些參數，繞過程序的保護，針對數據庫服務器進行攻擊。

（5）超時限制。web應用系統通常會設定「超時」限制，當用戶長時間不作任何操做時，須要從新登陸才能打開其餘頁面。會話的安全性還包括交換會話標識符、會話存儲狀態等的安全性。

（6）目錄。web的安全目錄也是不能忽視的。若是web程序或者web服務器的處理不適合，能夠經過簡單的URL替換和推測，使整個web目錄暴露出來，帶來嚴重的安全隱患。能夠採用某些方法將這種隱患降到最小程度，如每一個目錄下都存在index.htm，以及嚴格設定web服務器的目錄訪問權限。

（7）操做留痕。爲了保證web應用系統的安全性，日誌文件是相當重要的。須要測試相關信息是否寫進入了日誌文件，是否可追蹤。

2、安全測試工具調研

1. 概述

列出常見的安全測試工具，畫一張表，加以說明。格式以下：

序號	安全測試工具	商用 OR 免費	檢測對象（二進制代碼/源代碼）	簡介
1	Metaspoit	免費	源代碼	它是一個強大的開源平臺，供開發，測試和使用惡意代碼，這個環境爲滲透測試，shellcode 編寫和漏洞研究提供了一個可靠平臺。
2	Nessus	商用	源代碼	Nessus 是目前全世界最多人使用的系統漏洞掃描與分析軟件。提供完整的電腦漏洞掃描服務, 並隨時更新其漏洞數據庫。Nessus 可同時在本機或遠端上搖控, 進行系統的漏洞分析掃描。可自行定義插件(Plug-in)。完整支持SSL (Secure Socket Layer)。
3	w3af	免費	源代碼	web應用/網站專業掃描工具
4	Pangolin	商用	源代碼	Pangolin（中文譯名爲穿山甲）一款幫助滲透測試人員進行sql注入測試的安全工具。Pangolin可以經過一系列很是簡單的操做，達到最大化的攻擊測試效果。它從檢測注入開始到最後控制目標系統都給出了測試步驟。
5	Nmap	免費	二進制代碼	nmap是一個網絡鏈接端掃描軟件，用來掃描網上電腦開放的網絡鏈接端。肯定哪些服務運行在哪些鏈接端，而且推斷計算機運行哪一個操做系統（這是亦稱 fingerprinting）
6	Wireshark	免費	二進制代碼	Wireshark（前稱Ethereal）是一個網絡封包分析軟件。網絡封包分析軟件的功能是擷取網絡封包，並儘量顯示出最爲詳細的網絡封包資料。
7	Waptiti	免費	源代碼	由Python語言編寫的、開源的安全測試工具，直接對網頁進行掃描，可用於web應用程序漏洞掃描和安全檢測。
8	Nikto	免費	源代碼	開源的web服務器掃描程序，能夠對web服務器的多種項目進行全面的測試。
……

2. 安全測試工具試用

選擇一個開源的安全測試工具（能夠參考教材 P176），開展試用，寫一個試用報告。報告內容

1）記錄完整的測試過程（工具安裝、環境設置、測試過程、結果分析），包括腳本文件；
2） 提交安全測試報告，描述所作的測試、遇到的問題、結果分析等，要包括主要的測試運行截圖。

答：我選擇的是metasploit

①安裝

 

 

 

②配置環境變量

 

③用cmd打開

經過show命令查看模塊

用options命令

使用set命令

生成URL並在瀏覽器中打開，出錯。

 

總結：一開始想要下載許多軟件但都不怎麼好下載，有的不方便使用，因此最終選擇了metasploit。一開始不知道怎麼使用，後來使用百度，根據教學步驟，配置了環境變量而後打開。作這個實驗真的須要耐心。