软件安全测试的基本内容

软件安全测试的基本内容

软件的安全测试被统称为信息安全性测试。

web安全测试：对目标各种应用，组成的Web应用进行信息安全测试。测试方法包括黑盒测试、白盒测试、灰盒测试、人工测试、工具扫描、漏洞验证、漏洞演示、横向越权、纵向越权等。对常见的0WASP Top 10漏洞，如SQL注入、失效的身份认证、敏感数据泄露、失效的访问控制、安全配置错误、跨站脚木等漏洞进行测试并提出整改建议。

漏洞扫描：主机扫描，确定在目标网络上的主机是否在线。端口扫描，发现远程主机开放的端口以及服务。os识别技术，根据信息和协议栈判别操作系统。漏洞检测数据采集技术，按照网络、系统进行扫描。智能端口识别，多重服务检测，安全优化扫描，系统渗透扫描。多种DBMS的密码生成技术，提供口令爆破库，实现快速的弱口令检测。

源代码审计：源代码安全审计服务，从数据流分析、控制流分析、语义分析、配置分析、结构分析等五个方面，全面分析软件源代码安全问题。源代码安全审计服务的范围，包括使用C、C++、Objective-C、C#、Java、Java(Android)、JavaScript、Kotlin、PHP、Swift、Go、Python、Cobol、TSQL、PL/SQL、JSP、Node.js、Vue.js、React.js、HTML、XML等主流语言开发的B/S、C/S应用系统以及使用XML语言编写的文件、SQL语言和数据库存储过程等。从代码层面从根本上保证信息系统安全。

数据库审计：数据库漏洞采集，多种数据库自动化检查技术，数据库实例发现技术。多重数据库服务检测，数据库安全优化扫描，数据库渗透扫描。