通用技术 安全测试总结

测试小书童 · 2017年04月03日 · 最后由 手拿菜刀闯天下 回复于 2017年04月11日 · 97 次阅读

操作系统安全&数据库加固

  • secureCAT。同时扫描数据库和操作系统测试报告比较清晰,还告诉了如何去手动校验
  • ngs 扫描数据库
  • nessus 扫描数据库

代码扫描

工具

  • fortify。侧重代码质量
  • coverity。侧重代码安全

手动搜索

  • 日志不能打印敏感数据,可以全局正则搜索 user,token,pwd。最好和开发人员访谈确认关键词

隐私保护

  • LBS 安全大师
  • 根据《产品隐私权限列表》进行测试,每次使用个人数据时是否有授权提示框

apk 安全

  • intent fuzzer 工具
  • 根据 AndroidMainifest.xml 中的权限设置,是否有多于权限
  • 其他 AndroidMainifest.xml 的默认设置,allowbackup,debug,私有 activity 的设置等
  • rf explorer 管理器查看应用包里的属性,other 的权限应该是--。以及存储日志的关键字搜索等
  • 抓包修改 apk 客户端的字段,fiddler
  • 反编译。apktool+dex2jar+jd-gui 查看代码,搜索一些敏感关键字,无明文硬码密码,
  • ddms 检查日志是否打印敏感信息

apk 病毒

  • .McAfee Mobile Security

第三方类库扫描

  • CVE
  • CVSS 评分标准: 漏洞的最终得分最大为 10,最小为 0。得分 7~10 的漏洞通常被认为比较严重,得分在 4~6.9 之间的是中级漏洞,0~3.9 的则是低级漏洞。
  • blackduck
  • cvechecker

口令安全

  • 加密验证。走读代码
  • 其他。如每次的加密都是唯一的,不得使用 Random 函数作为秘钥,不得使用有规则的随机种子

证书安全

  • 替换证书
  • 证书到期
  • 删除证书

web 安全

其他

  • 端口扫描 Nmap
  • 协议栈健壮性测试工具 Codenomicon
  • 模糊测试 Peach fuzz
  • 服务器日志检查。如是否打印敏感信息,Windows 自带的防火墙日志,IIS 日志,其他容器日志的检查和设置
如果觉得我的文章对您有用,请随意打赏。您的支持将鼓励我继续创作!
共收到 7 条回复 时间 点赞

apk 病毒这块可以参考 vt 的接口

另外 Peach Fuzz 更偏重文件 fuzz 其实具体的 fuzz 还是要看产品具体的功能和场景 然后去做 fuzz 。
apk 安全也可以加上 drozer,虽然很多大神不齿,但个人认为还是个不错的工具,而且支持自定义扩展。

安全难做在于要知道扫描出来的 BUG 怎么去解决。

感谢分享,借鉴了。😁

注入工具还有 sqlmap 和 wvs 自己 wasp 组织推荐的一个开源工具

对于 peach,那个时候要求接口 fuzz,文件 fuzz,协议 fuzz。真觉得客户端没必要进行协议的 fuzz

baicai 回复

😀 看情况而定吧 大部分基本都不会做 fuzz 的

需要 登录 后方可回复, 如果你还没有账号请点击这里 注册