标签：表单 测试方法 关注 rms 写入 在服务器 http bsp cross
软件测试中日常测试中融入的安全测试
1. 用户权限测试
(1) 用户权限控制
1) 用户权限控制主要是对一些有权限控制的功能进行验证
2) 用户A才能进行的操作，B是否能够进行操作（可通过窜session，将在下面介绍）
3）只能有A条件的用户才能查看的页面，是否B能够查看（可直接敲URL访问）
(2) 页面权限控制
1） 必须有登陆权限的页面，是否能够在不登陆情况下进行访问
2）必须经过A——B——C的页面，是否能够直接由A——C?
2. URL安全测试
（1）适用范围： URL中含有参数，也就是通过GET方式传递的HTTP请求
（2）什么叫GET方式？
HTTP 定义了与服务器交互的不同方法，最基本的方法是 GET 和 POST。
GET方式在客户端通过URL提交数据，数据在URL中可以看到，例如在日常中订购服务：
http://pay.daily.taobao.net/mysub/subdeal/order_sub_deal.htm?servId=2
POST方式，数据放置在HTML HEADER内提交，数据在URL中看不到
GET只能传输比较少的数据，安全性较低，POST传输数据较多，安全性也比GET高
（3）测试关注点：
1） URL 参数检查：
A: 对URL中参数信息检查是否正确
如：URL中的订单号、金额允许显示出来的话，需要验证其是否正确
B: 对于一些重要的参数信息，不应该在URL中显示出来
如：用户登陆时登录名、密码是否被显示出来了 ，
2） URL参数值篡改
修改URL中的数据，看程序是否能识别：
如：对于以下URL，修改其中planId，看是程序是否可以识别：
http://pay.daily.taobao.net/mysub/plan/subplan/confirmSubPlanInfo.htm?planId=878
又如：对于URL中包含金额参数的，修改金额看是否能够提交成功（可能导致用户把2元金额改成1元金额 能提交），还有修改订单号等重要信息看是否会报错
3） URL中参数修改进行XSS注入：
什么是XSS？
XSS的全称是Cross Site Script（跨站点脚本）
XSS的原理很简单，即进行脚本注入，URL执行时即把此脚本进行了执行，一般都是JavaScript脚本，如<script>alter(“abc”)<script>在URL中进行XSS注入，也就是把URL中的参数改成JS脚本。
4） URL参数中进行SQL 注入
什么是SQL注入？
SQL注入全称是SQL Injection ，当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击，如查询、插入数据时。
测试方法： URL中写入SQL注入语句，看是否被执行，如：’or 1=1;shutdown
一般情况下要进行SQL注入攻击，需要对数据库类型、表名、判断逻辑、查询语句等比较清楚才能够写出有效的SQL注入语句。
3. 表单提交安全测试
适用范围：有表单提交的地方、有HTTP请求的地方(包括GET、POST请求)
测试关注点：
1） 表单中注入XSS脚本
什么是XSS？这已在上一节中说明。URL中需要检测XSS注入，表单中更需要验证
测试方法：即在表单填写框中直接注入JS脚本
如在表单中输入XSS脚本，程序是不应该让脚本执行的
2） 表单中注入SQL 脚本
与URL中参数进行SQL注入类似，就是在表单中写入SQL注入脚本提交看是否会有问题
4. Session测试
(1) Session是客户端与服务器端建立的会话，总是放在服务器上的，服务器会为每次会话建立一个sessionId，每个客户会跟一个sessionID对应。
并不是关闭浏览器就结束了本次会话，通常是用户执行“退出”操作或者会话超时时才会结束。
(2) 测试关注点：
1) Session互窜
Session互窜即是用户A的操作被用户B执行了。
验证Session互窜，其原理还是基于权限控制，如某笔订单只能是A进行操作，或者只能是A才能看到的页面，但是B的session窜进来却能够获得A的订单详情等。
Session互窜方法：
多TAB浏览器，在两个TAB页中都保留的是用户A的session记录，然后在其中一个TAB页执行退出操作，登陆用户B, 此时两个TAB页都是B的session，然后在另一个A的页面执行操作，查看是否能成功。 预期结果：有权限控制的操作，B不能执行A页面的操作，应该报错，没有权限控制的操作，B执行了A页面 操作后，数据记录是B的而不是A的。
2) Session超时
基于Session原理，需要验证系统session是否有超时机制，还需要验证session超时后功能是否还能继续走下去。
测试方法：
1、打开一个页面，等着10分钟session超时时间到了，然后对页面进行操作，查看效果。
2、多TAB浏览器，在两个TAB页中都保留的是用户A的session记录，然后在其中一个TAB页执行退出操作，马上在另外一个页面进行要验证的操作，查看是能继续到下一步还是到登录页面。
标签：表单 测试方法 关注 rms 写入 在服务器 http bsp cross
原文地址：http://www.cnblogs.com/cxx1/p/7417161.html
