一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密。参数操作、异常管理、审核和日志记录等几个方面入手。

  1. 安全体系测试

  1) 部署与基础结构

  l 网络是否提供了安全的通信

  l 部署拓扑结构是否包括内部的防火墙

  l 部署拓扑结构中是否包括远程应用程序服务器

  l 基础结构安全性需求的限制是什么

  l 目标环境支持怎样的信任级别

  2) 输入验证

  l 如何验证输入

  A. 是否清楚入口点

  B. 是否清楚信任边界

  C. 是否验证Web页输入

  D. 是否对传递到组件或Web服务的参数进行验证

  E. 是否验证从数据库中检索的数据

  F. 是否将方法集中起来

  G. 是否依赖客户端的验证

  H. 应用程序是否易受SQL注入攻击

  I. 应用程序是否易受XSS攻击

  l 如何处理输入

  3) 身份验证

  l 是否区分公共访问和受限访问

  l 是否明确服务帐户要求