系统安全测试报告模版V1.0.pdfVIP

国信xx数据技术有限公司

XXX系统

安全测试报告

创建人：xxx

创建时间：xxxx年xx月xx日

确认时间：

当前版本：V1.0

文档变更记录

*修订类型分为：A－ADDED，M－MODIFIED，D－DELETED。

目录

简介

编写目的

描述编写本测试报告需要说明的内容。

如：本报告为XX项目的安全测试报告，目的在考察系统安全性、测试结论

以及测试建议。

项目背景

对项目背景进行简要说明，可从需求文档或测试方案中获取。

系统简介

对所测试项目进行简要的介绍，如果有设计说明书可以参考设计说明书，

最好添加上架构图和拓扑图。

术语定义和缩写词

1/6

列出设计本系统/项目的专用术语和缩写语约定。对于技术相关的名词和与

多义词一定要注明清楚，以便阅读时不会产生歧义。

如：

漏洞扫描：

SQL注入：

参考资料

请列出编写测试报告时所参考的资料、文档。

需求、设计、测试案例、手册以及其他项目文档都是范围内可参考的资

料。

测试使用的国家标准、行业指标、公司规范和质量手册等等。

测试概要

测试的概要介绍，包括测试范围、测试方法、测试工具、测试环境等，主

要是测试情况简介。

测试范围

请在此处说明此次测试的测试范围，可以参考安全测试方案中描述的测试

范围。

测试方法和测试工具

简要介绍测试中采用的方法和工具

示例：

Xxx系统主要使用了输入安全、访问控制安全、认证与会话管理、缓冲区溢

出、拒绝服务、不安全的配置管理、注入式漏洞等安全测试方案。针对以上提

供的测试方案进行对应的测试用例和测试脚本编写，并使用Websecurify作为测

试工具。

2/6

2.2

1．验证输入安全

Xxx系统主要对没有被验证的输入进行如下测试

数据类型（字符串，整型，实数，等）、允许的字符集、最小和最大的长

度、是否允许空输入、参数是否是必须的、重复是否允许、数值范围、特定的

值（枚举型）、特定的模式（正则表达式）

2.2.2.访问控制安全

需要验证用户身份以及权限的页面，复制该页面的url地址，关闭该页面以

后，查看是否可以直接进入该复制好的地址

例：从一个页面链到另一个页面的间隙可以看到URL地址

直接输入该地址，可以看到自己没有权限的页面信息

2.2.3.认证与会话管理

例：对Grid、Label、Treeview类的输入框未做验证，输入的内容会按照

html语法解析出来

2.2.4.缓冲区溢出

没有加密关键数据

例：view－source：http地址可以查看源代码

在页面输入密码，页面显示的是*****,右键，查看源文件就可以看见刚才

输入的密码。

2.2.5.拒绝服务

分析：攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序，最

终使程序陷入瘫痪。需要做负载均衡来对付。

2.2.6.不的配置管理

3/6

分析：Config中的链接字符串以及用户信息，邮件，数据信息都需要加以

保护

程序员应该作的：配置所有的机制，关掉所有不使用的服务，设置角色权

限帐号，使用日志和警报。

分析：用户使用缓冲区溢出来破坏web应用程序的栈，通过发送特别编写

的代码到web程序中，攻击者可以让web应用程序来执行任意代码。

2.2.7.注入式漏洞

例：一个验证用户登陆的页面，

如果使用的sql语句为：

Select*fromtableAwhereusername＝’’+username+’’andpassword…..

Sql输入‘or1＝1――就可以不输入任