安全測(cè)試指南（第4版）

第一部分 項(xiàng)目概述及測(cè)試框架第1章 OWASP測(cè)試項(xiàng)目 21.1 OWASP測(cè)試項(xiàng)目概述 21.2 測(cè)試原則 51.3 測(cè)試技術(shù)說(shuō)明 91.3.1 測(cè)試技術(shù)說(shuō)明概述 91.3.2 人工檢查及復(fù)查 91.3.3 軟件威脅建模 101.3.4 代碼審查 111.3.5 滲透測(cè)試 121.3.6 需要平衡的測(cè)試方法 131.3.7 關(guān)于Web應(yīng)用掃描工具的注意事項(xiàng) 141.3.8 關(guān)于靜態(tài)源代碼復(fù)查工具的注意事項(xiàng) 151.3.9 安全測(cè)試需求推導(dǎo) 151.3.10 功能和非功能測(cè)試需求 181.3.11 安全測(cè)試集成于開(kāi)發(fā)與測(cè)試工作流程 211.3.12 開(kāi)發(fā)人員的安全測(cè)試 221.3.13 集成系統(tǒng)測(cè)試和操作測(cè)試 241.3.14 安全測(cè)試數(shù)據(jù)分析和報(bào)告 251.4 OWASP測(cè)試項(xiàng)目參考文獻(xiàn) 28第2章 OWASP測(cè)試架構(gòu) 302.1 OWASP測(cè)試架構(gòu)概述 302.1.1 階段1：開(kāi)發(fā)前 312.1.2 階段2：設(shè)計(jì)和定義階段 312.1.3 階段3：開(kāi)發(fā)階段 332.1.4 階段4：部署中 332.1.5 階段5：維護(hù)和運(yùn)行 342.2 典型SDLC測(cè)試流程 34第二部分 測(cè)試方法第3章 Web應(yīng)用安全測(cè)試 363.1 Web應(yīng)用安全測(cè)試概述 363.2 什么是OWASP測(cè)試方法？ 37第4章 信息收集測(cè)試 394.1 搜索引擎信息搜集（OTG-INFO-001） 394.1.1 信息搜集概述 394.1.2 信息搜集測(cè)試目標(biāo) 404.1.3 信息搜集測(cè)試方法 404.2 Web服務(wù)器指紋識(shí)別（OTG-INFO-002） 424.2.1 Web服務(wù)器指紋識(shí)別概述 424.2.2 Web服務(wù)器指紋識(shí)別測(cè)試目標(biāo) 424.2.3 Web服務(wù)器指紋識(shí)別測(cè)試方法 434.3 審查Web服務(wù)器元文件信息泄露（OTG-INFO-003） 484.3.1 審查Web服務(wù)器元文件信息泄露概述 484.3.2 審查Web服務(wù)器元文件信息泄露測(cè)試目標(biāo) 484.3.3 審查Web服務(wù)器元文件信息泄露測(cè)試方法 494.4 枚舉Web服務(wù)器的應(yīng)用（OTG-INFO-004） 524.4.1 枚舉Web服務(wù)器的應(yīng)用概述 524.4.2 枚舉Web服務(wù)器的應(yīng)用測(cè)試目標(biāo) 534.4.3 枚舉Web服務(wù)器的應(yīng)用測(cè)試方法 534.5 注釋和元數(shù)據(jù)信息泄露（OTG-INFO-005） 584.5.1 注釋和元數(shù)據(jù)信息泄露概述 584.5.2 注釋和元數(shù)據(jù)信息泄露測(cè)試目標(biāo) 584.5.3 注釋和元數(shù)據(jù)信息泄露測(cè)試方法 584.6 識(shí)別應(yīng)用的入口（OTG-INFO-006） 604.6.1 識(shí)別應(yīng)用的入口概述 604.6.2 識(shí)別應(yīng)用的入口測(cè)試目標(biāo) 604.6.3 識(shí)別應(yīng)用的入口測(cè)試方法 604.7 映射應(yīng)用程序的執(zhí)行路徑（OTG-INFO-007） 624.7.1 映射應(yīng)用程序的執(zhí)行路徑概述 624.7.2 映射應(yīng)用程序的執(zhí)行路徑測(cè)試目標(biāo) 634.7.3 映射應(yīng)用程序的執(zhí)行路徑測(cè)試方法 634.8 識(shí)別Web應(yīng)用框架（OTG-INFO-008） 644.8.1 識(shí)別Web應(yīng)用框架概述 644.8.2 識(shí)別Web應(yīng)用框架測(cè)試目標(biāo) 654.8.3 識(shí)別Web應(yīng)用框架測(cè)試方法 654.9 識(shí)別Web應(yīng)用程序（OTG-INFO-009） 694.9.1 識(shí)別Web應(yīng)用程序概述 694.9.2 識(shí)別Web應(yīng)用程序測(cè)試目標(biāo) 694.9.3 識(shí)別Web應(yīng)用程序測(cè)試方法 694.10 映射應(yīng)用架構(gòu)（OTG-INFO-010） 734.10.1 映射應(yīng)用架構(gòu)概述 734.10.2 映射應(yīng)用架構(gòu)測(cè)試方法 734.10.3 防護(hù)Web服務(wù)器示例 744.11 信息收集測(cè)試工具 754.12 信息收集測(cè)試參考文獻(xiàn) 814.13 信息收集測(cè)試加固措施 83第5章 配置管理測(cè)試 875.1 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施配置測(cè)試（OTG-CONFIG-001） 875.1.1 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施配置測(cè)試概述 875.1.2 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施配置測(cè)試方法 885.2 應(yīng)用平臺(tái)配置測(cè)試（OTG-CONFIG-002） 895.2.1 應(yīng)用平臺(tái)配置測(cè)試概述 895.2.2 應(yīng)用平臺(tái)配置測(cè)試方法 895.3 敏感信息文件擴(kuò)展處理測(cè)試（OTG-CONFIG-003） 945.3.1 敏感信息文件擴(kuò)展處理測(cè)試概述 945.3.2 敏感信息文件擴(kuò)展處理測(cè)試方法 955.4 對(duì)舊文件、備份和未被引用文件的敏感信息的審查（OTG-CONFIG-004） 965.4.1 對(duì)舊文件、備份和未被引用文件的敏感信息的審查概述 965.4.2 對(duì)舊文件、備份和未被引用文件的敏感信息產(chǎn)生的威脅 975.4.3 對(duì)舊文件、備份和未被引用文件的敏感信息的測(cè)試方法 985.5 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面（OTG-CONFIG-005） 1015.5.1 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面概述 1015.5.2 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面測(cè)試方法 1025.6 HTTP方法測(cè)試（OTG-CONFIG-006） 1035.6.1 HTTP方法測(cè)試概述 1035.6.2 任意的HTTP方法 1045.6.3 HTTP方法測(cè)試方法 1045.7 HTTP強(qiáng)制安全傳輸測(cè)試（OTG-CONFIG-007） 1085.7.1 HTTP強(qiáng)制安全傳輸測(cè)試概述 1085.7.2 HTTP強(qiáng)制安全傳輸測(cè)試方法 1085.8 RIA跨域策略測(cè)試（OTG-CONFIG-008） 1095.8.1 RIA跨域策略測(cè)試概述 1095.8.2 跨域策略測(cè)試方法 1105.9 配置部署管理測(cè)試工具 1115.10 配置部署管理測(cè)試參考文獻(xiàn) 1135.11 配置部署管理測(cè)試加固措施 116第6章 身份管理測(cè)試 1176.1 角色定義測(cè)試（OTG-IDENT-001） 1176.1.1 角色定義測(cè)試概述 1176.1.2 角色定義測(cè)試目標(biāo) 1176.1.3 角色定義測(cè)試方法 1186.2 用戶(hù)注冊(cè)流程測(cè)試（OTG-IDENT-002） 1186.2.1 用戶(hù)注冊(cè)流程測(cè)試概述 1186.2.2 用戶(hù)注冊(cè)流程測(cè)試目標(biāo) 1186.2.3 用戶(hù)注冊(cè)流程測(cè)試方法 1196.3 賬戶(hù)配置過(guò)程測(cè)試（OTG-IDENT-003） 1206.3.1 賬戶(hù)配置過(guò)程測(cè)試概述 1206.3.2 賬戶(hù)配置過(guò)程測(cè)試測(cè)試目標(biāo) 1206.3.3 賬戶(hù)配置過(guò)程測(cè)試測(cè)試方法 1206.4 賬戶(hù)枚舉和可猜測(cè)的用戶(hù)賬戶(hù)測(cè)試（OTG-IDENT-004） 1216.4.1 賬戶(hù)枚舉和可猜測(cè)的用戶(hù)賬戶(hù)測(cè)試概述 1216.4.2 賬戶(hù)枚舉和可猜測(cè)的用戶(hù)賬戶(hù)測(cè)試方法 1226.5 弱的或未實(shí)施的用戶(hù)策略測(cè)試（OTG-IDENT-005） 1266.5.1 弱的或未實(shí)施的用戶(hù)策略測(cè)試概述 1266.5.2 弱的或未實(shí)施的用戶(hù)策略測(cè)試目標(biāo) 1266.5.3 弱的或未實(shí)施的用戶(hù)策略測(cè)試方法 1266.6 身份管理測(cè)試工具 1266.7 身份管理測(cè)試參考文獻(xiàn) 1276.8 身份管理測(cè)試加固措施 128第7章 認(rèn)證測(cè)試 1297.1 憑證在加密通道中的傳輸測(cè)試（OTG-AUTHN-001） 1297.1.1 憑證在加密通道中的傳輸測(cè)試概述 1297.1.2 憑證在加密通道中的傳輸測(cè)試方法 1307.2 默認(rèn)用戶(hù)憑證測(cè)試（OTG-AUTHN-002） 1337.2.1 默認(rèn)用戶(hù)憑證測(cè)試概述 1337.2.2 默認(rèn)用戶(hù)憑證測(cè)試方法 1337.3 弱鎖定機(jī)制測(cè)試（OTG-AUTHN-003） 1367.3.1 弱鎖定機(jī)制測(cè)試概述 1367.3.2 弱鎖定機(jī)制測(cè)試目標(biāo) 1367.3.3 弱鎖定機(jī)制測(cè)試方法 1367.4 認(rèn)證模式繞過(guò)測(cè)試（OTG-AUTHN-004） 1387.4.1 認(rèn)證模式繞過(guò)測(cè)試概述 1387.4.2 認(rèn)證模式繞過(guò)測(cè)試方法 1387.5 記憶密碼功能存在威脅測(cè)試（OTG-AUTHN-005） 1427.5.1 記憶密碼功能存在威脅測(cè)試概述 1427.5.2 記憶密碼功能存在威脅測(cè)試方法 1437.6 瀏覽器緩存威脅測(cè)試（OTG-AUTHN-006） 1437.6.1 瀏覽器緩存威脅測(cè)試概述 1437.6.2 瀏覽器緩存威脅測(cè)試方法 1447.7 弱密碼策略測(cè)試（OTG-AUTHN-007） 1457.7.1 弱密碼策略測(cè)試概述 1457.7.2 弱密碼策略測(cè)試目標(biāo) 1457.7.3 弱密碼策略測(cè)試方法 1467.8 弱安全問(wèn)答測(cè)試（OTG-AUTHN-008） 1467.8.1 弱安全問(wèn)答測(cè)試概述 1467.8.2 弱安全問(wèn)答測(cè)試方法 1477.9 弱密碼的更改或重設(shè)功能測(cè)試（OTG-AUTHN-009） 1487.9.1 弱密碼的更改或重設(shè)功能測(cè)試概述 1487.9.2 弱密碼的更改或重設(shè)功能測(cè)試目標(biāo) 1487.9.3 弱密碼的更改或重設(shè)功能測(cè)試方法 1487.10 在輔助信道中較弱認(rèn)證測(cè)試（OTG-AUTHN-010） 1507.10.1 在輔助信道中較弱認(rèn)證測(cè)試概述 1507.10.2 在輔助信道中較弱認(rèn)證測(cè)試示例 1517.10.3 在輔助信道中較弱認(rèn)證測(cè)試方法 1517.10.4 關(guān)聯(lián)的測(cè)試用例 1527.11 認(rèn)證測(cè)試工具 1527.12 認(rèn)證測(cè)試參考文獻(xiàn) 1537.13 認(rèn)證測(cè)試加固措施 155第8章 授權(quán)測(cè)試 1568.1 目錄遍歷/文件包含測(cè)試（OTG-AUTHZ-001） 1568.1.1 目錄遍歷/文件包含測(cè)試概述 1568.1.2 目錄遍歷/文件包含測(cè)試方法 1578.2 繞過(guò)授權(quán)模式測(cè)試（OTG-AUTHZ-002） 1608.2.1 繞過(guò)授權(quán)模式測(cè)試概述 1608.2.2 繞過(guò)授權(quán)模式測(cè)試方法 1618.3 權(quán)限提升測(cè)試（OTG-AUTHZ-003） 1618.3.1 權(quán)限提升測(cè)試概述 1618.3.2 權(quán)限提升測(cè)試方法 1628.4 不安全對(duì)象引用測(cè)試（OTG-AUTHZ-004） 1638.4.1 不安全對(duì)象引用測(cè)試概述 1638.4.2 不安全對(duì)象引用測(cè)試方法 1638.5 授權(quán)測(cè)試工具 1658.6 授權(quán)測(cè)試參考文獻(xiàn) 1658.7 授權(quán)測(cè)試加固措施 166第9章 會(huì)話(huà)管理測(cè)試 1679.1 會(huì)話(huà)管理架構(gòu)繞過(guò)測(cè)試（OTG-SESS-001） 1679.1.1 會(huì)話(huà)管理架構(gòu)繞過(guò)測(cè)試概述 1679.1.2 會(huì)話(huà)管理架構(gòu)繞過(guò)測(cè)試方法 1689.2 Cookie屬性測(cè)試（OTG-SESS-002） 1739.2.1 Cookie屬性測(cè)試概述 1739.2.2 Cookie屬性測(cè)試方法 1759.3 會(huì)話(huà)固化測(cè)試（OTG-SESS-003） 1769.3.1 會(huì)話(huà)固化測(cè)試概述 1769.3.2 會(huì)話(huà)固化測(cè)試方法 1769.4 會(huì)話(huà)變量泄露測(cè)試（OTG-SESS-004） 1789.4.1 會(huì)話(huà)變量泄露測(cè)試概述 1789.4.2 會(huì)話(huà)變量泄露測(cè)試方法 1789.5 跨站偽造請(qǐng)求（CSRF）測(cè)試（OTG-SESS-005） 1819.5.1 跨站偽造請(qǐng)求（CSRF）測(cè)試概述 1819.5.2 跨站偽造請(qǐng)求（CSRF）測(cè)試方法 1849.6 會(huì)話(huà)管理測(cè)試工具 1859.7 會(huì)話(huà)管理測(cè)試參考文獻(xiàn) 1869.8 會(huì)話(huà)管理測(cè)試加固措施 188第10章 輸入驗(yàn)證測(cè)試 19010.1 反射型跨站腳本測(cè)試（OTG-INPVAL-001） 19010.1.1 反射型跨站腳本測(cè)試概述 19010.1.2 反射型跨站腳本測(cè)試方法 19110.2 存儲(chǔ)型跨站腳本測(cè)試（OTG-INPVAL-002） 19510.2.1 存儲(chǔ)型跨站腳本測(cè)試概述 195