系统安全测试要点

作为测试工程师不仅仅要干好自己功能，自动化，性能测试，还应该关注安全性测试。

安全测试分为部分∶

一、web前端的测试

1 反射型xss跨站脚本执行，web前端没有检验，过滤，转码等输入数据，数据中可能会藏有可执行的代码，可执行代码执行后？？？开发工程师觉的是实现功能，但是黑客会用作他用。

2 html实体注入，a标签中含有恶意代码，恶意链接，被利用后会有钓鱼风险

3 csrf请求伪造，服务端没有验证客户端身份可能出现的漏洞， 可能对数据库增删改造成非本人意愿的操作。

4 jsonp 与csrf差不多，它是基于数据库查看的非意愿请求

5 表到敏感信息泄露，如密码明文传输

6 URL跳转，暗跳转会执行外部js，可能会出现挂马钓鱼等风险

第二部分，后段安全测试点

1.SQL注入，对用户输入的SQL语句内容数据没有检验，导致执行其他的SQL语法

2.XML注入，读取任意文件的风险

3.OS命令注入，开发语言调用了系统函数方法，但对输入的内容数据没有检验，导致执行了功能之外的其他os命令

4.代码执行，与os执行差不多，影响范围小点，只是代码函数执行了其他语法

5.文件上传，没有对上传的文件检验，导致恶意可执行文件上传了，可能造成一句话木马，后门，远程命令执行的风险

6.文件包含