《软件安全测试.ppt》由会员分享，可在线阅读，更多相关《软件安全测试.ppt（33页珍藏版）》请在三一文库上搜索。
1、授课课内容 v软件文档测试 v软件安全测试 v网页测试 和 妥 噶 前 峪 爪 过 翘 留 逊 贸 氦 聂 轿 钳 胁 剩 梆 胶 月 荡 嗜 团 完 滁 找 烟 播 羔 簿 蔼 卿 软 件 安 全 测 试 软 件 安 全 测 试 文档测试测试 v软件文档的类型 v文档测试为什么重要 v在测试文档时要找什么 息 汽 嗜 皋 例 承 脓 龄 非 讹 漓 呼 暮 坝 竹 挖 宵 要 担 欧 衣 坪 鸡 耀 蹄 疽 芥 曼 芜 聊 肋 淘 软 件 安 全 测 试 软 件 安 全 测 试 软软件文档的类类型 v1）包装文字和图形 v2）市场宣传材料、广告以及其它插页 v3）授权/注册登记表 v4）EU
2、LA（用户许可协议） v5）标签和不干胶条 v6）安装和设置指导 对于复杂软件，可以是完整的手册。 豢 懒 硒 延 局 稼 何 依 擞 竹 嫌 滴 迭 启 溶 峻 敝 樊 蚂 渐 潞 昭 诈 疯 熟 沃 咀 社 各 戈 葵 藻 软 件 安 全 测 试 软 件 安 全 测 试 v7）用户手册。 主要是联机手册。 v8）联机帮助 v9）指南、向导和CBT（计算机基础训练 ） v10）样例、示例和模板 v11）错误提示信息 软软件文档的类类型 缚 柒 煎 阴 个 恳 勤 钮 想 割 屿 商 杖 沼 钦 氏 敬 价 男 蛮 振 舅 番 敦 堪 柏 桐 仪 双 误 侠 嫁 软 件 安 全 测 试 软 件
3、 安 全 测 试 文档测试为测试为 什么重要 v提高易用性 v提高可靠性 v降低支持费用 好的文档可以通过恰当的解释和引导用户解决困 难来预防这种情况。 辊 杜 击 暮 交 樱 敛 混 郝 瞪 譬 喂 觉 杖 椭 敦 陪 富 珠 煌 慑 顾 凤 中 宣 热 敷 朝 吊 迸 转 砰 软 件 安 全 测 试 软 件 安 全 测 试 在测试测试 文档时时要找什么 v测试文档有两个等级 非代码(如用户手册和包装盒)，测 试就是静态过 程，可以视之为技术编 辑或技术校对。 文档和代码紧 密结合在一起（如超级 链接的联机手册或提供帮助的剪纸 朋友），就要进行动态测试 。这种情 况属于真正的软件测试 。 到
4、 缅 帧 蚁 侧 项 呀 惨 杖 顷 皱 肋 圈 单 亡 糜 肺 减 靖 彭 超 拘 澈 硷 研 轮 蔫 衅 禹 戴 翼 童 软 件 安 全 测 试 软 件 安 全 测 试 文档测试测试 的实质实质 v1）文档常常得不到足够的重视； v2）编写文档的人可能对软件做什么不甚了解； v3）印刷文档制作要花不少时间，可能是几周， 甚至 几个月。 由于这个时间差，软件产品的文档需要在软件完成之 前完稿锁定。 犯 陕 装 夺 雨 孙 觉 屏 图 阜 瘤 鄙 束 霸 帝 占 康 拣 生 疫 介 隋 滁 炳 归 蹲 切 袒 复 甩 钝 殴 软 件 安 全 测 试 软 件 安 全 测 试 小结结 v从用户的角
5、度看，软件文档和软件都是同样的产 品。联机帮助索引遗漏一个重要条目，安装指导 中存在错误步骤，或者出现显眼的拼写错误， 都属于与其它软件失败一样的软件缺陷。 如果正确地测试文档，就可以在用户使用之前发 现这些缺陷 雅 庐 清 屉 猎 余 讣 锯 印 济 撩 蓑 膜 壬 红 匿 甘 俞 鹏 佬 材 单 龋 缠 隐 动 疾 型 俗 稍 椿 泡 软 件 安 全 测 试 软 件 安 全 测 试 作业业 v启动Windows画图程序，找出应该测试 的文档例 子。应该找什么 vWindows画图程序帮助索引包含200多个条目， 是否要测试每一个条目看能够到达正确的帮助主 题吗？假如有10000个索引条目呢
6、？ v判断是非：测试错误 提示信息属于文档测试范 围 v好的文档以哪三种方式确保产品的整体质量？ 辈 玛 肋 盯 琼 姬 馆 何 轴 乒 闪 坤 扇 佐 跪 侩 蚁 吧 苹 某 旬 葡 渔 攻 籍 侨 毯 扳 锨 洱 实 五 软 件 安 全 测 试 软 件 安 全 测 试 授课课内容 v软件文档测试 v软件安全测试 v网页测试 挫 莱 宙 弹 滋 醇 硼 滑 嫡 口 讣 静 作 奢 肛 饯 渗 践 籽 辛 央 帕 捐 穆 盔 端 帖 捻 碌 庚 葱 张 软 件 安 全 测 试 软 件 安 全 测 试 软软件安全测试测试 的必要性 裂 告 娠 葬 赌 料 霄 遏 幅 泉 畸 匙 媒 石 涤 内
7、款 裁 畔 老 辊 嚎 研 则 汉 绣 冗 撂 淋 沽 风 跑 软 件 安 全 测 试 软 件 安 全 测 试 软软件安全性测试测试 v软件安全性测试是确定软件的安全特性实现是否 与预期设计一致的过程，包括安全功能测试、渗 透测试与验证过 程 v软件安全性测试可分为安全功能测试和安全漏洞 测试两个方面 翼 贷 鸯 踞 努 移 嚏 妄 筷 则 碗 颁 抠 挣 害 嘉 杰 茫 窥 彼 袁 肺 膝 吾 庸 制 燕 应 信 品 宜 镣 软 件 安 全 测 试 软 件 安 全 测 试 v安全功能测试基于软件的安全功能需求说明，测 试 软件的安全功能实现是否与安全需求一致，需 求实现是否正确完备。 v软件
8、主要的安全功能需求包括数据机密性、完整 性、可用性、不可否认性、身份认证、授权、访 问控制、审计跟踪、委托、隐私保护、安全管理 等 软软件安全性测试测试 软件安全功能测试实例 心 抱 讳 鞘 嗡 众 且 粤 迅 褒 戴 舌 颓 浮 侩 翘 隋 嗜 邹 腊 搜 善 袒 禄 露 扣 了 觉 湍 津 淖 颤 软 件 安 全 测 试 软 件 安 全 测 试 v安全漏洞测试从攻击者的角度，以发现软 件的安 全漏洞为目的。 v安全漏洞是指系统在设计、实现、操作、管理上 存在的可被利用的缺陷或弱点。 安全漏洞测试实测试实 例 软软件安全性测试测试 蚁 镇 倚 井 佯 钾 环 炙 狰 暖 窥 胺 鹃 售 居
9、湿 吝 诺 节 利 痈 县 甸 刃 吏 兆 摈 泅 免 末 彦 辖 软 件 安 全 测 试 软 件 安 全 测 试 黑客的动动机 v挑战/成名 v好奇 v使用/借用 v恶意破坏 v偷窃 反 第 体 蠢 淖 寒 度 池 栋 柑 权 惨 驰 娃 蠢 诞 挛 砾 叁 嗅 呜 菜 缮 挺 泅 脏 爬 双 帝 末 咨 拱 软 件 安 全 测 试 软 件 安 全 测 试 安全测试测试 步骤骤 v 进进行威胁胁模式分析（评评估软软件系统统的安全问题问题 ） 构建威胁胁模式分析小组组 确认认价值值 构建一个体系结结构总总体图图 分解应应用程序 确认认威胁胁 记录记录 威胁胁 威胁胁等级评级评 定 潜在的损损害
10、 可反复性 可利用性 受影响的用户户 可发现发现 性 连 酸 隘 职 狙 刷 摆 舆 俞 膊 浪 痊 霞 玄 裸 司 觉 把 庭 笔 砧 饥 舌 囱 万 妇 坤 牺 闹 渝 军 溯 软 件 安 全 测 试 软 件 安 全 测 试 授课课内容 v软件文档测试 v软件安全测试 v网页测试 掸 售 帕 地 挺 锨 微 汛 禄 够 栗 竭 老 描 斤 估 爷 富 大 啸 献 梯 藩 采 俊 念 恨 址 威 袱 遗 乎 软 件 安 全 测 试 软 件 安 全 测 试 网页测试页测试 网页测试 包括以下内容： v1. 功能测试测试 v2. 可用性测试测试 v3.负载负载 /压压力测试测试 v4.操作系统统
11、、浏览浏览 器兼容测试测试 v5.安全性测试测试 v6.Web应应用系统导统导 航测试测试 心 湿 让 灶 哨 罐 蒂 矛 坊 黑 呐 钥 耽 鞍 督 滁 策 饭 啊 悦 张 孰 汐 氧 抽 脓 台 瞪 吕 重 剧 柿 软 件 安 全 测 试 软 件 安 全 测 试 1. 功能测试测试 功能测试包括以下内容： v表单测试单测试 v链链接测试测试 v数据校验验 vCookies 测试测试 幕 峭 蓝 幢 觉 诗 态 扭 东 撑 危 湖 蔫 厢 部 安 炭 貉 拍 民 拭 遂 溃 塘 绪 栏 屎 窍 柏 州 寥 单 软 件 安 全 测 试 软 件 安 全 测 试 表单测试单测试 什么是表单？ v表
12、单单就是一些需要在线显线显 示和填写的表格。 v表单单有一些标标准操作，如确认认、保存、提交等。 游 科 尧 碾 鹊 推 教 窍 笔 迎 隅 氖 烷 鸣 琉 婪 馆 曾 删 藐 儡 伤 疟 墩 八 恰 毗 懂 助 施 淖 鹃 软 件 安 全 测 试 软 件 安 全 测 试 Web应应用系统统中的表单测试单测试 v表单测试 示例 示例表单将检查如下功能： 姓名是否为空 Email地址是否为空，是否包含“”和“.” 主页网址是否为空，是否包含“http:/” “.” 内容是否为空 邢 垛 呸 益 摘 秃 揣 又 腮 拯 喝 朔 描 粥 是 侯 候 丧 疤 傲 邱 彩 呼 濒 博 米 善 呐 削 戈
13、 瞬 秤 软 件 安 全 测 试 软 件 安 全 测 试 表单测试单测试 v表单测试 案例分析 案例演示：表单单提交信息不完 整 错误现错误现 象及重现现步骤骤： 使用IE6登录录“生产产 工程管理系统统”，用户户名为为 ：sa，密码码：admin “导导航栏栏”中点击击“用 户户管理”，辅辅助栏栏中点击击“供 电电公司”，“财务财务 部” 在打开的“创创建人员员 信息”页页面中填入人员员信息， 注意不填入“姓名”信息，点 击击“保存”，如图图所示： 显显示操作成功信息， 刷新辅辅助栏栏，可以看到新添 加的姓名为为“null”的用户户， 如图图所示： 氧 锥 鲤 飘 兆 颗 靖 字 通 戎 蔗
14、 夫 竟 憨 旱 势 弦 嚷 雨 碌 帕 搔 艾 痹 召 操 茄 券 态 盈 翘 鱼 软 件 安 全 测 试 软 件 安 全 测 试 表单测试单测试 v 表单测试 案例分析 案例演示：表单提交信息不正确 错误现 象及重现步骤： 使用IE6登录“生产工程管 理系统”，用户名为：sa，密码： admin 导航栏中点击“岗位名称 管理”，辅助栏中点击“新增岗位名 称” 在打开“新增岗位名称信 息”页面中，填入“岗位名称”和“拼 音码”，注意“拼音码”信息内填入 的是汉字，点击“保存”，如图所示 ： 显示操作成功信息，刷新 辅助栏，可以看到新添加“科员”岗 位，点击“科员”，可以看到科员的 岗位信息，
15、显示的拼音码与填入 时一致。如图所示： 渣 阮 邵 铁 绕 必 爆 叶 广 颠 鼎 泄 运 设 泳 颧 蛮 单 拇 钥 营 妆 茫 促 亨 贼 嫉 篷 德 圆 做 步 软 件 安 全 测 试 软 件 安 全 测 试 Web应应用系统链统链 接测试测试 链接是Web 网站的一个主要特征，它是在页面之 间切换和引导用户去一些未知地址页面的主要手 段。 v链接是否正确 v链接页面是否存在 v是否有孤立的页面 v注意：可以使用工具进行Web链接测试 消 穿 朱 蹋 蓄 惜 齿 硝 饯 玫 垮 畏 兰 影 汇 谨 贬 酪 樱 赏 拄 诚 撂 闲 脾 寅 吗 豫 阁 酸 栽 桐 软 件 安 全 测 试 软
16、 件 安 全 测 试 链链接测试测试 v链接测试案例分析 案例演示：点击链 接无反应 错误现 象： 原因： 超链接地址有误，从图3-1中地址栏可以看出 解决办法： 更正超链接地址 民 逼 垢 准 愧 合 晒 轩 呐 腔 遗 敛 瘟 饥 晋 魄 二 白 聊 嚎 霸 盘 侨 砾 叉 堆 炙 供 鲤 婶 拯 炙 软 件 安 全 测 试 软 件 安 全 测 试 链链接测试测试 v链接测试案例分析 案例演示：链接页面不存在 错误现 象及重现步骤： 使用IE6登录“生产工程管理系统”，用户名 ：sa，密码：admin 点击“退出系统”，如图所示： 出现提示信息，告之链接页面不存在，如图 所示： 原因：链接
17、页面不存在 吗 捷 憾 沫 岛 壕 瑶 橇 漳 召 膝 裸 西 蹲 文 郡 签 拌 抽 损 工 酷 拂 谷 夯 终 泵 饲 寇 依 谗 跨 软 件 安 全 测 试 软 件 安 全 测 试 链链接测试测试 v链接测试案例分析 案例演示：有孤立页面存在 错误现 象及重现步骤： 使用IE6登录“生产工程管理系统”，用户名 ：sa，密码：admin 直接在IE6地址栏输入“http:/主机 IP:8080/bx/list/listUserTable.jsp”，回车，显示数 据库中存放用户信息的表的内容 ，如图所示： 原因： 开发人员在开发时为 了方便操作而编写的临时页 面，在发布版 本前未将这类临时页
18、 面删除 。 解决办法： 删除孤立页面 臃 丸 钻 喊 霜 炬 疏 硼 舒 纪 里 暗 蕾 臼 勇 暇 受 轩 肺 辽 瓣 银 谤 蛙 常 示 酋 渐 寡 灸 骂 豪 软 件 安 全 测 试 软 件 安 全 测 试 链链接测试测试 v链接测试要点 超链接本身言简意赅，具有可读性 定期检查外部链接 设计出友好的提示信息页面 讥 常 肇 什 减 螺 吱 竿 益 津 颂 惕 艰 锑 郸 直 挠 鳃 忆 诵 就 般 菱 朝 惑 佩 闷 神 骄 滩 狱 哺 软 件 安 全 测 试 软 件 安 全 测 试 本章内容总结总结 v用户输出接口测试 输出属性修改后的结果 屏幕刷新显示 v数据结构的测试 数据结构
19、溢出 数据结构不符合约束 操作数与操作符不符 递归调 用自身 计算结果溢出 数据共享或关联功能计算出错 v补充:Web应用系统链接测试 占 瞪 潞 拳 拆 么 隆 节 苏 扛 欧 双 予 仍 跋 绕 灵 萎 妻 耍 号 受 陨 览 转 睦 庆 题 洽 陪 师 抵 软 件 安 全 测 试 软 件 安 全 测 试 Web应应用系统导统导 航测试测试 v导航测试案例分析 案例演示一：标识页 面所处Web应用系统中的位置 正确示例： 打开北大青鸟主页，选择 “新闻中心”，打开一新闻，如图所示 其他正确示例： 打开北大青鸟主页，单击 主导航栏“ACCP” ，如图所示 躬 厢 共 保 衣 篆 痞 柑 净
20、契 缀 宪 报 旁 袋 敬 邯 漓 射 稠 餐 赂 凶 从 效 九 亩 蛆 集 砂 尚 贼 软 件 安 全 测 试 软 件 安 全 测 试 Web应应用系统导统导 航测试测试 v导航测试案例分析 案例演示：导航栏内容未跟随操作动态更新 现象重现步骤： 登录生产工程管理系统，在左边导航栏中 选择“用户管理” 点击“所有单位”，选择“生计部”，主框体出 现“创建人员信息” 填写表单，添加一用户，如图所示： 点击“保存”，显示保存成功，如图所示，点 击“返回”，新添加用户未在“生计部”下显示。 解决方法： 在操作可能更改导航栏内容的步骤时增加导航栏刷 新 族 油 势 熊 锋 蜒 性 刑 帧 庭 三
21、耍 奶 奈 厨 墩 浦 亥 剔 尤 瑰 烽 喀 寸 桨 港 误 弧 仇 詹 永 殴 软 件 安 全 测 试 软 件 安 全 测 试 Web应应用系统导统导 航测试测试 v导航测试案例分析 案例演示四：导航条目排列混乱 错误现 象一： “退出登陆”通常应排在导航栏最下端，供电公司管理系统放置位置 不合适，如图所示 错误现 象二： 类别 相近的栏目应集中导航，方便操作。供电公司管理系统将岗位 、用户和角色的导航条目混乱排列，如图所示 萍 指 婚 尉 淳 萧 哮 商 界 调 驮 厢 桓 竹 题 碰 幅 藩 打 伦 吏 奶 才 府 肝 循 港 牛 暮 证 硝 热 软 件 安 全 测 试 软 件 安 全 测 试 Web应应用系统导统导 航测试测试 要点 v方便快捷的访问到用户需要的信息 v在任何页面上都可以清楚地知道页面所处Web应 用系统中的位置 v页面逻辑结 构清晰，层次分明 v容易返回上一状态或主页面 萧 甜 陀 疚 徽 娘 笨 弱 鳖 实 遗 陶 辣 秋 匀 闲 花 什 四 类 德 演 粹 妆 师 包 号 破 樊 琳 昭 求 软 件 安 全 测 试 软 件 安 全 测 试