安全性測試用例

1、安全性測試用例Expected Results：1、輸入的驗(yàn)證碼錯 誤。2、輸入的驗(yàn)證碼過 長。3、輸入的驗(yàn)證碼錯 誤。4、輸入的驗(yàn)證碼錯 誤。5、輸入的驗(yàn)證碼錯 誤。6、輸入的驗(yàn)證碼正 確，成功登陸系 統(tǒng)。7、輸入的驗(yàn)證碼錯 誤。8、輸入的驗(yàn)證碼錯 誤。9、系統(tǒng)權(quán)限設(shè)置是有 效的。安全性測試用例1、WEB系統(tǒng)安全性說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase001：客戶端驗(yàn)證，服務(wù)器端驗(yàn)證（禁用腳本調(diào)試）禁用Cookies）Summary:檢驗(yàn)系統(tǒng)權(quán)限設(shè)置的有效性Steps：1、輸入很大的數(shù)（如4,294,967,269）,輸入很

2、小的數(shù)（負(fù)數(shù)）。2、輸入超長字符，如對輸入文字長度有限制，則嘗試超過限制，剛好到達(dá)限制字?jǐn)?shù)時(shí)有何反應(yīng)。3、輸入特殊字符如:!#$%人&*（）_+<>:"|4、輸入中英文空格，輸入字符串中間含空格，輸入首尾空格5、輸入特殊字符串NULL,null,0x0d0x0a6、輸入正常字符串7、輸入與要求不同類型的字符,如：要求輸入數(shù)字則檢查正值，負(fù)值，零值（正零，負(fù)零），小數(shù)，字母，空值；要求輸入字母則檢查輸入數(shù)字8、輸入html和javascript代碼9、某些需登錄后或特殊用戶才能進(jìn)入的頁面，是否可以通過直接輸入網(wǎng)址的方式進(jìn)入；10、對于帶參數(shù)的網(wǎng)址，惡意修改其參數(shù),（

3、若為數(shù)字，則輸入字母，或很大的數(shù)字，或輸入特殊字符等）后打開網(wǎng)址是否出錯，是否可以非法進(jìn)入某些頁面;場景法Pass/Fail:TestNotes：Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase002關(guān)于URLSummary:檢驗(yàn)系統(tǒng)防范非法入侵的能力2、對于帶參數(shù)的網(wǎng)址,惡意修改其參數(shù),（若為數(shù)字，則輸入字母，或很大的數(shù)字，或輸入特殊字符等）后打開網(wǎng)址是否出錯，是否可以非法進(jìn)入頁面；或很大的數(shù)字，或輸入特殊字符等）后打開網(wǎng)址出錯，不可以非法進(jìn)入頁面。3、輸入html代碼或JavaScript看是不會在頁面中顯示或執(zhí)3、搜

4、索頁面等url中行。含有關(guān)鍵字的，輸入html代4、正常進(jìn)入頁面。5、系統(tǒng)防范非法入JavaScript看是否在侵的能力強(qiáng)。頁面中顯示或執(zhí)行。4、輸入善意字符。場景法Pass/Fail：TestNotes：Author：說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論Test Case003：日志記錄的完整性Summary：檢驗(yàn)系統(tǒng)運(yùn)行的時(shí)候是否會記錄完整的日志Steps：1、進(jìn)行詳單查詢，檢ExpectedResults：工、系統(tǒng)會記錄相應(yīng)的測系統(tǒng)是否會記錄相應(yīng)的操作員。操作員。2、系統(tǒng)會記錄相應(yīng)的2、進(jìn)行詳單查詢，檢測系統(tǒng)是否會記錄相應(yīng)的操作時(shí)間。

5、3、進(jìn)行詳單查詢，檢測系統(tǒng)是否會記錄相應(yīng)的系統(tǒng)的狀態(tài)。4、進(jìn)行詳單查詢，檢測系統(tǒng)是否會記錄相應(yīng)的操作事項(xiàng)。5、進(jìn)行詳單查詢，檢測系統(tǒng)是否會記錄相應(yīng)的IP地址等。操作時(shí)間。3、系統(tǒng)會記錄相應(yīng)的系統(tǒng)的狀態(tài)。4、系統(tǒng)會記錄相應(yīng)的操作事項(xiàng)。5、系統(tǒng)會記錄相應(yīng)的IP地址。6、系統(tǒng)運(yùn)行的時(shí)候會記錄完整的日志場景法Pass/Fail：TestNotes：Author：說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults*得出測試結(jié)論TestCase004：軟件安全性測試涉及的方面Summary：檢驗(yàn)系統(tǒng)的數(shù)據(jù)備份Steps：1、是否設(shè)置密碼最小長度、用戶名和密碼是否可Expected

6、Results：1是。2、不可以3、否場景法Pass/Fail:TestNotes：Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase008沒有被驗(yàn)證的輸入Summary:檢驗(yàn)輸入驗(yàn)證Steps：ExpectedResults:1、數(shù)據(jù)類型（字符對上述輸入有控制串，整型，實(shí)數(shù)，等）2、允許的字符集3、最小和最大的長度4、是否允許空輸入5、參數(shù)是否是必須的6、重復(fù)是否允許7、數(shù)值范圍8、特定的值（枚舉型）9、特定的模式（正則I表達(dá)式）一場景法Pass/Fail:TestNotes：Author:說明：執(zhí)行每一步Steps時(shí)，請

7、參照對應(yīng)編號的ExpectedResults,得出測試結(jié)TestCase006訪問控制Summary:檢驗(yàn)訪問控制Steps：1、用于需要驗(yàn)證用戶身份以及權(quán)限的頁面，復(fù)制該頁面的url地址，關(guān)閉該頁面以后，查看是否可以直接進(jìn)入該復(fù)制好的地址例：從一個頁面鏈到另一個頁面的間隙可以看到URL地址，直接輸入該地址，可以看到自己沒有權(quán)限的頁面信息場景法Pass/Fail：Author:ExpectedResults:1、不能進(jìn)入TestNotes：說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase007：輸入框驗(yàn)證Summary:驗(yàn)證輸入框是否經(jīng)

8、驗(yàn)證Steps：對Grid、Label、Treeview類的輸入框未作驗(yàn)ExpectedResults:對上述輸入有控制證，輸入的內(nèi)容會按照html語法解析出來場樂法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase00&關(guān)鍵數(shù)據(jù)加密卜Summary:是否對關(guān)鍵數(shù)據(jù)進(jìn)仃加傷Steps：1、登錄界面密碼輸入框中輸入密碼，頁面顯示的是*，右鍵，查看源文件是否可以看見剛才輸入的密碼ExpectedResults:1、不能看到n場樂法Pass/Fail：TestNotes：Author:

9、說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase009認(rèn)證請求方式Summary:檢驗(yàn)認(rèn)證請求方式Steps：ExpectedResults:1、認(rèn)證和會話數(shù)據(jù)是1、采用POST方式否使用POST方式，而非GET方式Test Notes：場景法Pass/Fail：Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase01QSQL注入Summary:檢驗(yàn)是否存在SQL注入Steps：ExpectedResults:1、1、無效場景法Pass/Fail:TestNotes：A

10、uthor:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase011文件上傳風(fēng)險(xiǎn)Summary:Steps：ExpectedResults:1、1、無效場景法Pass/Fail:TestNotes：Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase012功能失效、異常帶來的安全風(fēng)險(xiǎn)Summary:Steps：ExpectedResults:1、1、無效場景法Pass/Fail：TestNotes：Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的Expecte

11、dResults,得出測試結(jié)TestCase013操作日志檢查Summary:Steps：ExpectedResults:1、1、無效場景法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase014：登錄次數(shù)限制Summary:Steps：1、ExpectedResults:1、無效口場凡法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase018IE回退按鈕Summary:Steps

12、：1、退出系統(tǒng)后，點(diǎn)擊IE回退按鈕，能否重新回到系統(tǒng)中ExpectedResults:1、無效n場樂法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)TestCase016通信保密性Summary:Steps：1、測試主要應(yīng)用系統(tǒng)，ExpectedResults:1、查看當(dāng)通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方是否能自動結(jié)束會話；系統(tǒng)是否能在通信雙方建立會話之前，利用密碼技術(shù)進(jìn)行會話初始化驗(yàn)證（如SSL建立加密通道前是否利用密碼技術(shù)進(jìn)行會話初始驗(yàn)證）；在連信過程中，是否對整個報(bào)文或會話過程進(jìn)行

13、加密；2、測試主要應(yīng)用系統(tǒng)，通過通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，查看另一方是否能自動結(jié)束會話，測試當(dāng)通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方是否能自動結(jié)束會話的功能是否有效；3、測試主要應(yīng)用系統(tǒng)，通過查看通信雙方數(shù)據(jù)包的內(nèi)容，查看系統(tǒng)在通信過程中，對整個報(bào)文或會話過程進(jìn)行加密的功能是否有效。場景法Pass/Fail:TestNotes：Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase017：通信保密性Summary:Steps：ExpectedResults:1、a）應(yīng)限制單個用戶1、的多重并發(fā)會話；b）

14、應(yīng)對應(yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制；c）應(yīng)對一個時(shí)間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制；d）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定和鑒別失敗鎖定，并規(guī)定解鎖或終止方式；e）應(yīng)禁止同一用戶賬號在同一時(shí)間內(nèi)并發(fā)登錄；f）應(yīng)對一個訪問用戶或一個請求進(jìn)程占用的資源分配最大限額和最小限額；g）應(yīng)根據(jù)安全屬性（用戶身份、訪問地址、時(shí)間范圍等）允許或拒絕用戶建立會話連接；h）當(dāng)系統(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值時(shí)，應(yīng)能檢測和報(bào)警;i）應(yīng)根據(jù)安全策略設(shè)定主體的服務(wù)優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源，保證優(yōu)先級低的主體處理能力不會影響到優(yōu)先級高的主體的處理能力。場樂法Pass/Fail：TestNotes：

15、Author:說明：執(zhí)行每一步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase01&數(shù)據(jù)備份和恢復(fù)Summary:Steps：ExpectedResults:1、a）應(yīng)提供自動備份1、機(jī)制對重要信息進(jìn)行本地和異地備份；b）應(yīng)提供恢復(fù)重要信息的功能；c）應(yīng)提供重要網(wǎng)絡(luò)設(shè)備、通信線路和服務(wù)器的硬件冗余；d）應(yīng)提供重要業(yè)務(wù)系統(tǒng)的本地系統(tǒng)級熱備份。場景法Pass/Fail:TestNotes：Author:2、服務(wù)器安全性說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase001：Summary:操作

16、系統(tǒng)賬戶Steps：1、ExpectedResults:1、無效口場凡法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase002文件分區(qū)格式Summary:Steps：1、ExpectedResults:1、無效口場凡法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的ExpectedResults,得出測試結(jié)論TestCase003中間件密碼Summary:Steps：1、ExpectedResults:1、無效n場樂法Pass/Fail：TestNotes：Author:說明：執(zhí)仃每步Steps時(shí)，請參照對應(yīng)編號的Expecte