第三方安全測(cè)試是在IT企業(yè)軟件產(chǎn)品的生命周期中，特別是產(chǎn)品開發(fā)基本完成到發(fā)布階段，對(duì)產(chǎn)品進(jìn)行檢驗(yàn)以驗(yàn)證產(chǎn)品符合安全需求定義和產(chǎn)品質(zhì)量標(biāo)準(zhǔn)的過程。

軟件安全測(cè)試服務(wù)詳情

web信息系統(tǒng)安全測(cè)試是指有關(guān)驗(yàn)證應(yīng)用程序的安全等級(jí)和識(shí)別潛在安全性缺陷的過程，主要是測(cè)試應(yīng)用程序?qū)拥陌踩?，包括兩個(gè)層面：

一是應(yīng)用程序本身的安全性

一般來說，應(yīng)用程序的安全問題主要是由軟件漏洞導(dǎo)致的，這些漏洞可以是設(shè)計(jì)上的缺陷或是編程上的問題，甚至是企業(yè)開發(fā)人員預(yù)留的后門；

二是應(yīng)用程序的數(shù)據(jù)安全

包括數(shù)據(jù)存儲(chǔ)安全和數(shù)據(jù)傳輸安全兩個(gè)方面。 

一般來說，對(duì)安全性要求不高的軟件，其安全性測(cè)試可以混在單元測(cè)試、集成測(cè)試、系統(tǒng)測(cè)試?yán)镆黄鹱?。但?duì)安全性有較高需求的軟件，則必須做專門的安全測(cè)試，以便在破壞之前預(yù)防并識(shí)別軟件的安全問題。主要目的是查找軟件自身程序設(shè)計(jì)中存在的安全隱患，并檢查應(yīng)用程序?qū)Ψ欠ㄇ秩氲姆婪赌芰?根據(jù)安全指標(biāo)不同測(cè)試策略也不同。

軟件安全測(cè)試服務(wù)價(jià)值

web信息系統(tǒng)安全測(cè)試是用來驗(yàn)證集成在軟件內(nèi)的保護(hù)機(jī)制是否能夠在實(shí)際中保護(hù)系統(tǒng)免受非法的侵入。通俗的說：軟件系統(tǒng)的安全當(dāng)然必須能夠經(jīng)受住正面的攻擊——但是它也必須能夠經(jīng)受住側(cè)面的和背后的攻擊，才能保證企業(yè)的安全運(yùn)行，CNAS安全檢測(cè)報(bào)告規(guī)避企業(yè)的安全風(fēng)險(xiǎn)，保證企業(yè)立于不敗之地。

白盒測(cè)試

對(duì)軟件源代碼進(jìn)行掃描，檢測(cè)軟件源代碼中存在的漏洞；提供全面的數(shù)據(jù)流分析，定位存在漏洞代碼段及其路徑，找出外部輸入能影響到的易損函數(shù)。例如：S、Cross-Site Scripting等漏洞。

黑盒測(cè)試

對(duì)正在運(yùn)行的B/S架構(gòu)的系統(tǒng)進(jìn)行動(dòng)態(tài)的滲透性測(cè)試，檢測(cè)B/S架構(gòu)系統(tǒng)的特定功能點(diǎn)是否存在漏洞，并收集系統(tǒng)泄露的各種信息。例如：HTTPResponse Splitting、System Information  Leak、PrivacyViolation等漏洞。
測(cè)試工具：Fortify Source Code Analysis Engine、Fortify  SecurityTester

代碼審計(jì)（軟件源代碼安全審查）

（以發(fā)現(xiàn)程序錯(cuò)誤，安全漏洞和違反程序規(guī)范為目標(biāo)的源代碼分析）。
　　1.密碼管理（包括各種常用的加密方式的審查）。
　　2.跨站腳本（利用http協(xié)議的特點(diǎn)，跨站腳本的可能攻擊漏洞）。
　　3.資源管理（數(shù)據(jù)權(quán)限，功能權(quán)限的審查）。
　　4.配置管理（session，錯(cuò)誤頁面）。
　　5.檢測(cè)工具使用（使用Checkstyle進(jìn)行缺陷模式匹配、FindBugs 缺陷模式匹配及數(shù)據(jù)流分析、使用PMD缺陷模式匹配，F(xiàn)indSecurityBugs，fortify）。
　　6.代碼質(zhì)量的審查。

滲透測(cè)試

（選擇不影響業(yè)務(wù)系統(tǒng)正常運(yùn)行的模擬攻擊方法，對(duì)主機(jī)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備進(jìn)行滲透測(cè)試，評(píng)估計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全）。
　　1.權(quán)限管理測(cè)試（包括橫向越權(quán)測(cè)試、縱向越權(quán)測(cè)試、使用kali社會(huì)工程學(xué)工具包實(shí)施測(cè)試等）。
　　2.文件、目錄測(cè)試（包括目錄列表測(cè)試、文件歸檔測(cè)試等）。
　　3.身份認(rèn)證測(cè)試（包括：使用Burp Suite對(duì)網(wǎng)絡(luò)認(rèn)證服務(wù)的攻擊、哈希密碼破解、密碼字典破解等內(nèi)容）。
　　4.會(huì)話管理測(cè)試（包括：身份信息維護(hù)方式測(cè)試、Cookie存儲(chǔ)方式測(cè)試、用戶注銷登錄方式測(cè)試、注銷時(shí)會(huì)話信息是否清除測(cè)試、會(huì)話超時(shí)測(cè)試等）。
　　5.文件上傳、下載測(cè)試（包括文件上傳測(cè)試、下載測(cè)試等內(nèi)容）。
　　6.信息泄露測(cè)試（借助wireshark\fiddler等工具嗅探敏感數(shù)據(jù)是否泄露）。
　　7.SQL注入測(cè)試（包括：手動(dòng)SQL注入和借助Sqlmap工具注入等內(nèi)容）。
　　8.XSS攻擊（包括：XSS漏洞掃描、存儲(chǔ)型XSS、DOM型XSS、BeFF-XSS滲透測(cè)試框架、BeFF-XSS與Metasploit協(xié)同工作等內(nèi)容）。
　　9.CSRF攻擊（包括：CSRF漏洞掃描、利用條件、檢測(cè)方法和對(duì)策等內(nèi)容）。
　　10.WebShell（包括：WebShell檢測(cè)方法及對(duì)策）。
　　11.無線安全滲透測(cè)試（包括無線網(wǎng)絡(luò)嗅探、使用Aircrack-NG工具破解無線網(wǎng)絡(luò)、使用Arpspoof實(shí)施arp攻擊等）。
　　12.其他滲透測(cè)試（包括：邏輯測(cè)試，html5安全測(cè)試，日志審計(jì)，class文件反編譯測(cè)試，Struts2框架測(cè)試等）。

漏洞掃描

（提供包括網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)、常見應(yīng)用服務(wù)器以及WEB應(yīng)用等范圍的掃描掃描）。
　　1.AppScan掃描掃描測(cè)試（首先利用AppScan對(duì)Web應(yīng)用和服務(wù)器進(jìn)行全面掃描掃描，發(fā)現(xiàn)部分漏洞和問題）。
　　2.使用Nessus/OpenVAS進(jìn)行漏洞掃描（包括：掃描本地漏洞掃描、網(wǎng)絡(luò)漏洞掃描、掃描指定Linux的系統(tǒng)漏洞掃描、掃描指定Windows的系統(tǒng)漏洞掃描等內(nèi)容）。

移動(dòng)APP安全檢測(cè)

（包括對(duì)移動(dòng)APP產(chǎn)品進(jìn)行的代碼審計(jì)、配置驗(yàn)證、人工驗(yàn)證）。
　　APP安全檢測(cè)要點(diǎn)
　　1、Allowbackup漏洞掃描
　　2、WebView漏洞掃描
　　3、關(guān)鍵數(shù)據(jù)明文傳輸
　　4、任意賬號(hào)注冊(cè)
　　5、登錄界面可被釣魚劫持

軟件安全測(cè)試工具

　主要包括：包括：nmap、Sqlmap、Nessus、Appscan、Metasploit、BurpSuite、Aircrack-ng、wireshark\fiddler、Checkstyle，F(xiàn)indBugs，PMD，F(xiàn)indSecurityBugs，fortify等。
　　1.AppScan掃描測(cè)試（首先利用AppScan對(duì)Web應(yīng)用和服務(wù)器進(jìn)行全面掃描，發(fā)現(xiàn)部分漏洞和問題）。
　　2.代碼審計(jì)（使用Checkstyle進(jìn)行缺陷模式匹配、FindBugs缺陷模式匹配及數(shù)據(jù)流分析、使用PMD缺陷模式匹配，F(xiàn)indSecurityBugs，fortify）。
　　3.信息收集（使用Nmap、Recon-NG等工具收集Web應(yīng)用、服務(wù)器、網(wǎng)絡(luò)的信息，包括：運(yùn)行賬號(hào)權(quán)限測(cè)試、服務(wù)端口掃描、HTTP方法測(cè)試、網(wǎng)絡(luò)范圍測(cè)試、服務(wù)器其他信息收集等）。
　　4.使用Nessus/OpenVAS進(jìn)行漏洞掃描（包括：掃描本地漏洞、網(wǎng)絡(luò)漏洞、掃描指定Linux的系統(tǒng)漏洞、掃描指定Windows的系統(tǒng)漏洞等內(nèi)容）。
　　5.使用Metasploit發(fā)起滲透攻擊（包括：對(duì)操作系統(tǒng)的攻擊、對(duì)Web應(yīng)用程序攻擊、對(duì)mysql數(shù)據(jù)庫(kù)的攻擊等）。

安全測(cè)試過程說明

保密性

　　應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問。
　　訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作。
　　應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限。
　　應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的Zui小權(quán)限，并在它們之間形成相互制約的關(guān)系。
　　在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證。
　　應(yīng)對(duì)通信過程中的敏感信息字段進(jìn)行加密。

完整性

　　應(yīng)采用校驗(yàn)碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。
　　應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng)設(shè)定要求。
　　在故障發(fā)生時(shí)，應(yīng)用系統(tǒng)應(yīng)能夠繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧?/p>

抗抵賴性

　　應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)。
　　應(yīng)保證無法刪除、修改或覆蓋審計(jì)記錄。

可核查性

　　審計(jì)記錄的內(nèi)容至少應(yīng)包括事件日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等。

真實(shí)性

　　應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別。
　　應(yīng)提供用戶身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用。
　　應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施。
　　應(yīng)啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。

用戶鑒別

　　軟件應(yīng)具備身份鑒別機(jī)制檢測(cè)（用戶使用軟件過程中是否需要輸入用戶名和口令）
　　檢測(cè)是否具備鑒別失敗處理機(jī)制
　　檢測(cè)是否存在口令或賬戶登錄錯(cuò)誤提示混淆

軟件容錯(cuò)

　　檢測(cè)軟件應(yīng)對(duì)異常輸入操作進(jìn)行有效處理

組件安全

　　軟件調(diào)用Activity組件的過程中，應(yīng)確保無法進(jìn)行權(quán)限攻擊或劫持
　　軟件調(diào)用Broadcast Receiver組件的過程中，應(yīng)確保無法進(jìn)行監(jiān)聽或劫持
　　軟件調(diào)用Content Provider組件的過程中，應(yīng)確保無法進(jìn)行權(quán)限攻擊
　　軟件調(diào)用Intent組件的過程中，應(yīng)確保無法進(jìn)行權(quán)限攻擊

API安全

　　檢測(cè)軟件調(diào)用的API應(yīng)不包含已知可被利用的漏洞

權(quán)限管理

　　檢測(cè)軟件軟件應(yīng)確保權(quán)限Zui小化

數(shù)據(jù)輸入

　　檢測(cè)隱私數(shù)據(jù)輸入時(shí)是否明文顯示

數(shù)據(jù)輸出

　　檢測(cè)軟件軟件的隱私數(shù)據(jù)顯示應(yīng)是安全的（隱私信息進(jìn)行顯示時(shí)（口令、身份證等），是否進(jìn)行屏蔽）

數(shù)據(jù)存儲(chǔ)

　　檢測(cè)軟件記錄的隱私信息是否加密處理
　　檢測(cè)數(shù)據(jù)存儲(chǔ)位置是否安全

接口安全

　　軟件與服務(wù)器通信時(shí)，隱私數(shù)據(jù)應(yīng)加密

軟件測(cè)試外包商務(wù)流程

　 1.業(yè)務(wù)受理：達(dá)成合作意向，確認(rèn)需求，合同簽訂；
　　2.測(cè)試準(zhǔn)備：需求分析，環(huán)境準(zhǔn)備，資源調(diào)配；
　　3.測(cè)試設(shè)計(jì)：計(jì)劃方案，用例設(shè)計(jì)，工具準(zhǔn)備；
　　4.測(cè)試執(zhí)行：環(huán)境核查，原始記錄，回歸測(cè)試；
　　5.報(bào)告發(fā)布：測(cè)評(píng)報(bào)告起草，報(bào)告評(píng)審，發(fā)布。