实训报告2：软件安全缺陷查找实训报告

软件安全缺陷查找实训报告

• 基本信息

名称：	软件安全缺陷查找
时间：	4月17日
测试人：
学号：
年级专业班级：	22级软件工程专业1班
目标:	了解常见的软件漏洞类型及其危害。 掌握软件漏洞检测、分析和修复的方法 提高测试设计能力和缺陷分析能力和安全意识。

• 测试内容
  1. 测试思路及测试环境

测试思路 ：

通过模拟真实用户操作，结合常见安全漏洞类型（如SQL注入、跨站脚本攻击、未授权访问等），对教务管理系统进行全面测试，发现潜在的安全缺陷，并记录其影响范围、严重程度及修复优先级。

测试环境 ：

操作系统：Windows 11

浏览器：Google Chrome 版本 135.0.7049.96

测试工具：Burp Suite、Postman、浏览器开发者工具

目标系统：教务管理系统（http://10.1.1.149）

1. 1. 缺陷列表

缺陷编号	缺陷标题	所属模块	缺陷描述	严重程度	优先级
DEF-SEC 01	密码SQL注入	用户模块	输入精心构造的密码后可绕过密码检测	严重	高
DEF-SEC 02	文件上传失败	文件模块	上传文件时显示“Internal Server Error”	中	中
DEF-SEC 03	跨站脚本攻击 (XSS)	评论模块	在评论框中输入恶意脚本后，页面被篡改	严重	高
DEF-SEC 04	未授权访问	权限模块	未登录用户可直接访问受保护的管理页面	高	高
DEF-SEC 05	敏感信息泄露	日志模块	系统日志中记录了用户的明文密码	中	高

1. 1. 缺陷详细描述

缺陷编号：DEF-SEC01

缺陷标题：密码SQL注入

测试对象：教务管理系统 http://10.1.1.149

缺陷描述：输入精心构造的密码后可绕过密码检测

操作步骤：访问登录页面（http://10.1.1.149/login）。在用户名输入框中输入任意值（如admin）。在密码输入框中输入以下内容：' OR '1'='1。点击“登录”按钮。

预期结果：系统应验证用户名和密码是否匹配，若不匹配则提示错误。

实际结果 ：成功登录系统，未进行密码验证。

严重程度：严重

优先级：高

发现时间：2025-03-10

缺陷编号：DEF-002

缺陷标题：文件上传失败

测试对象：教务管理系统 http://10.1.1.149

缺陷描述：上传文件时显示“Internal Server Error”。

操作步骤：登录系统并进入文件上传功能页面。选择一个合法文件（如PDF或图片格式）并点击“上传”。观察页面响应。

预期结果：文件上传成功，页面显示上传完成的提示。

实际结果 ：页面显示“Internal Server Error”，文件上传失败。

严重程度 ：中

优先级 ：中

发现时间 ：2025-03-10

缺陷编号：DEF-SEC 03

缺陷标题 ：跨站脚本攻击 (XSS)

测试对象 ：教务管理系统 http://10.1.1.149

缺陷描述 ：在评论框中输入恶意脚本后，页面被篡改，可能导致用户会话被劫持或恶意代码执行。

操作步骤 ：登录系统并进入评论功能页面。在评论框中输入以下代码：<script>alert('XSS Attack');</script>。提交评论并刷新页面。

预期结果 ：系统应过滤掉恶意脚本，页面正常显示。

实际结果 ：页面弹出警告框，显示“XSS Attack”，恶意脚本被执行。

严重程度 ：严重

优先级 ：高

发现时间 ：2025-03-11

缺陷编号：DEF-SEC 04

缺陷标题 ：未授权访问

测试对象 ：教务管理系统 http://10.1.1.149

缺陷描述 ：未登录用户可通过直接访问URL进入受保护的管理页面，存在严重的权限控制漏洞。

操作步骤 ：退出登录状态或不登录系统。在浏览器地址栏中输入管理页面的URL（如：http://10.1.1.149/admin）。按下回车键访问页面。

预期结果 ：系统应跳转至登录页面或提示无权限访问。

实际结果 ：成功进入管理页面，可查看和操作敏感数据。

严重程度 ：高

优先级 ：高

发现时间 ：2025-03-12

缺陷编号：DEF-SEC 05

缺陷标题 ：敏感信息泄露

测试对象 ：教务管理系统 http://10.1.1.149

缺陷描述 ：系统日志中记录了用户的明文密码，存在敏感信息泄露风险。

操作步骤 ：登录系统并进行任意操作。查看服务器端生成的日志文件（路径：/var/log/system.log）。搜索日志内容，发现明文密码记录。

预期结果 ：日志中不应记录用户的敏感信息（如密码）。

实际结果 ：日志中记录了用户的明文密码，例如：“User login with password: 123456”。

严重程度 ：中

优先级 ：高

发现时间 ：2025-03-13

• 测试分析

安全缺陷分析

SQL注入漏洞 ：

SQL注入是由于系统未对用户输入进行有效校验或参数化查询导致的。该漏洞允许攻击者通过构造恶意SQL语句绕过认证机制，甚至获取数据库中的敏感信息。建议使用预编译语句或ORM框架来避免此类问题。

文件上传失败 ：

文件上传失败可能是由于服务器端处理逻辑存在异常，或者文件大小、格式限制未正确配置。需要检查服务器端代码逻辑，并确保上传接口的健壮性。

跨站脚本攻击 (XSS) ：

XSS漏洞是由于未对用户输入进行严格的HTML编码或过滤导致的。攻击者可以利用此漏洞注入恶意脚本，窃取用户会话信息或篡改页面内容。建议对所有用户输入进行严格过滤，并启用CSP（内容安全策略）。

未授权访问 ：

未授权访问漏洞表明系统缺乏有效的权限控制机制。建议在每个受保护的页面中加入身份验证和权限校验逻辑，避免直接通过URL访问敏感资源。

敏感信息泄露 ：

日志中记录明文密码是严重的安全问题。建议在日志记录中避免存储敏感信息，必要时对敏感数据进行脱敏处理。