专业整理
2. 测试概要
测试的概要介绍，包括测试范围、测试方法、测试工具、测试环境等，主要是测试情况简介。
2.1. 测试范围
请在此处说明此次测试的测试范围，可以参考安全测试方案中描述的测试范围。
2.2. 测试方法和测试工具
简要介绍测试中采用的方法和工具
示例： Xxx系统主要使用了输入安全、访问控制安全、认证与会话管理、缓冲区溢出、拒绝服务、不安全的配置管理、注入式漏洞等安全测试方案。针对以上提供的测试方案进行对应的测试用例和测试脚本编写，并使用Websecurify作为测试工具。
2.2.1． 验证输入安全
Xxx系统主要对没有被验证的输入进行如下测试
数据类型（字符串，整型，实数，等）、允许的字符集、最小和最大的长度、是否允许空输入、参数是否是必须的、重复是否允许、数值范围、特定的值（枚举型）、特定的模式（正则表达式）
2.2.2. 访问控制安全
需要验证用户身份以及权限的页面，复制该页面的url地址，关闭该页面以后，查看是否可以直接进入该复制好的地址
例：从一个页面链到另一个页面的间隙可以看到URL地址 直接输入该地址，可以看到自己没有权限的页面信息
WORD完美格式
专业整理
2.2.3. 认证与会话管理
例：对Grid、Label、Tree view类的输入框未做验证，输入的内容会按照html语法解析出来
2.2.4. 缓冲区溢出
没有加密关键数据
例：view－source：http地址可以查看源代码
在页面输入密码，页面显示的是 *****, 右键，查看源文件就可以看见刚才输入的密码。
2.2.5. 拒绝服务
分析：攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序，最终使程序陷入瘫痪。需要做负载均衡来对付。
2.2.6. 不安全的配置管理
分析：Config中的链接字符串以及用户信息，邮件，数据存储信息都需要加以保护
程序员应该作的： 配置所有的安全机制，关掉所有不使用的服务，设置角色权限帐号，使用日志和警报。
分析：用户使用缓冲区溢出来破坏web应用程序的栈，通过发送特别编写的代码到web程序中，攻击者可以让web应用程序来执行任意代码。
2.2.7. 注入式漏洞
例：一个验证用户登陆的页面， 如果使用的sql语句为：
Select * from table A where username＝’’ + username+’’ and pass word …..
WORD完美格式
专业整理
Sql 输入 ‘ or 1＝1 ―― 就可以不输入任何password进行攻击 或者是半角状态下的用户名与密码均为：‘or’‘=’。
2.2.8. 不恰当的异常处理
分析：程序在抛出异常的时候给出了比较详细的内部错误信息，暴露了不应该显示的执行细节，网站存在潜在漏洞。
2.2.9. 不安全的存储
分析：帐号列表：系统不应该允许用户浏览到网站所有的帐号，如果必须要一个用户列表，推荐使用某种形式的假名（屏幕名）来指向实际的帐号。
浏览器缓存：认证和会话数据不应该作为GET的一部分来发送，应该使用POST。
2.2.10. 跨站脚本（XSS）
分析：攻击者使用跨站脚本来发送恶意代码给没有发觉的用户，窃取他机器上的任意资料
测试方法：
● HTML标签：<…>…
● 转义字符：&(&)；<(<)；>(>)； (空格) ； ● 脚本语言：
● 特殊字符：‘ ’ < > / ● 最小和最大的长度 ● 是否允许空输入
WORD完美格式
专业整理
2.2.11. 测试工具介绍：
工具名称 用途 生产厂商 版本 以上为示例内容 2.3. 测试环境与配置
在此次项目的测试中，所使用到的环境和配置见下表： 硬件环境 序号 服务器 厂商/型号 配置/数量 IP 操作系统 软件环境 序号 系统软件 厂商 版本 备注
3. 测试组织
3.1. 测试人员
序号 姓名 角色 职责 3.2. 测试时间细分及投入人力
以下为测试过程中多个测试轮次的时间和人员安排以及工作内容的简单描述：
WORD完美格式