哈喽，大家好，今天我们来聊聊如何成为一名初级软件测试工程师，需要必备那些知识和技能。什么是软件测试软件测试的经典定义是：在规定的条件下对程序进行操作，以发现程序错误，衡量软件品质，并对其是否能满足设计要求进行评估的过程。软件测试的现实定义是：软件测试是贯穿整个软件开发生命周期、对软件产品（包括阶段性产品）进行验证和确认的活动过程，其目的是尽快尽早地发现在软件产品中所存在的各种问题——与用户需求、预先定义的不一致性。掌握技能1.测试基础理论：你要明白一家互联网公司各个岗位是做什么的，主要是前端，后端

什么是CRSFCSRF（Cross-site request forgery）即跨站请求攻击。简单的说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己以前认证过的站点并运行一些操作（如发邮件，发消息，甚至财产操作（如转账和购买商品））。因为浏览器之前认证过，所以被访问的站点会觉得是这是真正的用户操作而去运行。这就利用了web中用户身份认证验证的一个漏洞：简单的身份验证仅仅能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。其实可以这么理解CSRF攻击：攻击者盗用了你的身份，.

什么是XSS跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入的Script代码会被执行，从而达到恶意攻击用户的目的。XSS类型1.反射式XSS反射型 XSS 一般是攻击者通过特定手法（如电子邮件），诱使用户去访问一个包含恶意代码的 URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。反射型XSS通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端 Cookies或进行钓鱼欺骗。存储式XSS也叫持久型X.

DVWA环境搭建DVWA-1.0.7.ziphttp://IP:Port/dvwa/login.php。默认用户名 admin， 默认密码 password什么是SQL注入SQL注入是发生在应用程序数据库层的安全漏洞。简而言之，是输入的文本中注入SQL指令，在设计不良的程序当中忽略了检查，那么这些注入进去的指令就会被数据库服务器误认为是正常的SQL指令而执行，因此遭到破坏。SQL注入类型1.数字型注入http://www.test.com/msg/test.php?myno=1’http:.

三、攻击访问控制从逻辑上讲，应用程序的核心安全机制——访问控制建立在验证和会话管理之上，如果应用程序的访问控制存在缺陷，攻击者往往能够很快的攻占这个应用程序。访问控制漏洞的概念其实很简单即应用程序允许攻击者执行或者访问某种攻击者不具备相应权限的功能或资源。常见的访问控制可以分为垂直访问控制、水平访问控制及多阶段访问控制（上下文相关访问控制），与其相应的访问控制漏洞为也垂直越权漏洞（普通用户可以访问或执行只有管理员才具有权限访问或执行的资源或功能），水平越权漏洞（某一用户可以访问或执行另一个用户才有权限访.

二、攻击会话管理HTTP协议本身是“无状态”，“无连接”的，也就是说HTTP协议本身并不会记住客户端访问的上下文，也无法保存客户端的各种状态，这其中就包括登录状态。如果HTTP不能保存用户的登录状态那就意味着用户在每次访问需要身份验证的网站时都必须填写用户名及密码，这里的“每次访问”是指每个单次的HTTP请求包括刷新一次页面。为了解决上述的问题Web应用程序就需要使用会话这个概念，即用户登录成功后为其建立一个会话，通过会话记录用户的各种状态，通常使用Cookie及Session实现会话机制。确定会话令.

一、攻击验证机制身份验证是核心防御机制中最薄弱的环节，身份验证机制也是攻击者的主要攻击目标之一。常见的验证技术1、基于HTML表单的验证（最常见）2、多元机制，如组合密码和物理令牌多用于安全性要求较高的应用程序比如说提供进行巨额交易服务的私人银行3、客户端SSL证书或智能卡这种验证技术成本昂贵，通常只有那些用户不多的安全性极其重要的应用程序才会使用它们。4、HTTP基本认证和摘要认证这种验证方式通常会出现在企业内网中，这种验证机制是建立在域环境及内网对用户的访问控制之上的。5、使用NT.

OWASP Top TenOWASP Top 10是一个面向开发人员和web应用程序安全性的标准意识文档。它代表了关于web应用程序最关键的安全风险的广泛共识。十大Web应用程序安全风险（2017版）注入：注入缺陷，如SQL、NoSQL、OS和LDAP注入，当将不受信任的数据作为命令或查询的一部分发送到解释器时注入缺陷随即产生。攻击者的恶意数据可以欺骗解释器执行非预期的命令或在没有适当授权的情况下访问数据。失效的身份认证：与身份验证和会话管理相关的应用程序功能通常会错误地实现，从而使攻击者能够破.