安全测试-业务安全的些许“瞎说”

Posted zzz紫川

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了安全测试-业务安全的些许“瞎说”相关的知识,希望对你有一定的参考价值。

  毕业已经一年多了,这一年多,一直都对安全方面的知识感兴趣。但是感觉网上资料真的很少,也瞎折腾过不少工具(AppScan、BurpSuite、Sqlmap、nmap等),却感觉与印象中的“安全测试”相差甚远,觉得自己一直徘徊在这扇门的前面而不得入,身边的朋友做安全这方面的几乎没有。以下是一些瞎整理的东西,若路过的大佬们发现有错误,欢迎留言指正!!

一、业务安全分析

1、网络层            

  DDOS攻击

2、Web层-应用安全

  SQL注入
  XSS
  CSRF
  表单篡改(Get&Post)

二、业务安全-风控

1、账号(注册、登录、短信)

2、敏感信息(手机号,家庭住址,物品明细,身份证....)

3、羊毛党

  分类型,是“业务跑量”还是“拉新用户”来决定水军在公司的容忍高低;

4、支付安全

三、内部安全

1、服务器安全(线上,线下)

2、数据安全(权限,加密,追溯问责)

3、源代码管理(配置管理)

4、桌面安全(离开锁屏)

5、内部其他(邮件钓鱼,链接电鱼,网站钓鱼)

6、漏洞预警以及处理

 

四、安全测试的流程(科班出身的流程)

1、立项:项目建立,时间安排,人力分配,目标制定,厂商接口人;

2、系统分析&威胁分析:针对具体的Web应用,分析系统架构,使用的组件、可对外提供的接口等,以威胁模型进行对应的安全威胁分析,输出安全威胁分析表,重点关注top3威胁(sql注入、Xss、CSRF);

3、制定测试用例:根据威胁分析的结果制定对应的测试用例,测试用例按照模板输出,具备可执行性;

4、测试执行&漏洞挖掘:测试用例执行&发散测试,挖掘对应的安全问题or漏洞;
  测试报告:对客户方进行告知

5、问题修复&回归测试:知道客户应用开发方修复安全问题or漏洞,并进行回归测试,确保安全问题or漏洞得到修复且没有引入新的安全问题;

6、项目总结评审:项目过程总结,输出文档评审,相关文档归档;

PS:某从事安全测试的朋友告知,一般工作中,不会采用以上的流程,而采用“野路子”的一套流程,各种操作得到自己想要的数据。(忘记问具体的了,-_-||)

  

  目前在看《Web安全测试》一书,一句话让我开拓了眼界:【平时的测试是站在用户的角度去测试系统,而安全测试是站着破坏者的角度去测试系统】有种恍然大悟的感觉。以上内容,若看的不明白,实属正常,因为这是笔记,没有详细的展开写。也是因为自身知识不够,无法详细的描述,顶多复述他人告知我的知识,望见谅。

以上是关于安全测试-业务安全的些许“瞎说”的主要内容,如果未能解决你的问题,请参考以下文章

Web安全测试学习手册-业务逻辑测试

企业安全之如何在保证业务的同时做好安全

企业安全之如何在保证业务的同时做好安全

应用安全体系建设之路

安全测试,从人工挖掘到自动化脚本

APP本地服务安全测试