系统安全测试方案

测试目标

发现系统存在的安全隐患

发现系统设计缺陷：权限控制，数据加密，数据导出等。

测试范围

测试的系统：

• 1
• 2
• 3

测试内容

系统设计方案review，开放性测试（adhoc）

安全扫描：扫描工具-kali

• web服务器安全漏洞
• web服务器错误配置
• SQL注入
• XSS（跨站脚本攻击）
• CRLF注入
• 目录遍历
• 权限认证
• 字典遍历

常见场景（持续补充）：

1、仅前端控制权限，后端无限制

      exa. 当前登录用户的session，请求权限内的资源ok，更改leads为未关注，是否显示

      如果为传employee_id 的接口，传和当前登录账号不一样的账号，是否显示数据

2、是否有反爬虫机制

     访问次数限制，访问受限资源，黑名单（IP，用户）

3、敏感数据是否加密

4、接需求的时候，考虑安全，性能风险

5、不连VPN（数据库），内网（in）可以访问--暴露在公网，伪造信息

6、数据库备份，主从备份，数据的明文存储（用户名，密码，身份证号，手机号）

测试执行

人员：

时间：

扫描工具：原则上扫描工具必须下班后执行。

风险规避

可能会对线上系统造成的影响

运维备案：

系统备份：

应急方案：