軟件安全測試和開發之基于滲透測試和源代碼掃描的方法

　　通過設置 URL 入口、登陸方式和測試策略，AppScan 可以快速完成 Web 應用掃描的配置，從而開始漏洞檢測。其實，除了上述幾種設置，我們在圖 7 左側還可以發現更為完善的測試配置項，比如對參數和 Cookie 的設置，對掃描訪問的 URL 深度和廣度進行配置，對需要填充的表單如何填寫等等。

　　圖 8. 進行掃描中與發現的部分安全問題

appscanouncersar/image008.png" width="572" height="265">

　　AppScan 的掃描分為二部分，首先是進行探索，將發現的 URL 進行記錄;其次進入實際的測試步驟，將利用之前我們設定的測試策略進行滲透測試。下圖是 AltoroMutual 應用經過 AppScan 黑盒測試發現的部分安全問題。在 AppScan 主窗口左上方顯示的 AltoroMutual 被掃描出的網站 URL 結構圖，每個 URL 上發現的安全漏洞被標注在該 URL 后。左下方的儀表板顯示了安全問題的匯總，由于我們設定只針對中高級別的安全問題進行顯示，所以 Low Level、Info Level 的問題數量為 0。右上方將掃描出安全問題的種類和相應的 URL 一一羅列出來，而在其下方是每一個安全問題的詳細描述、修復建議和問題復現。

　　圖 9. AppScan 掃描完成后的主窗體

　　(點擊查看大圖)

　　一般來講，基于黑盒的滲透測試具有較高的測試準確率，但是我們依舊需要對掃描出的安全問題進行分析和甄別，從而給出合理的安全級別和修復建議。在本例中，我們具體分析一下 AltoroMutual 應用中存在的跨站腳本攻擊(XSS)問題。

　　點擊存在 XSS 問題的 URL“http://localhost:8080/altoromutual/sendFeedback”中“name”，可以看到產生這個 XSS 問題的詳細信息，我們通過查看“請求 / 響應”來對該漏洞進行復現和判斷其嚴重程度。點擊“請求 / 響應”的標簽后，我們發現 AppScan 發送了如下的內容給 AltoroMutual。利用將“1234>%22%27>”插入到 cfile=comments.txt&name 后，實施 XSS 攻擊。

　　圖 10. AppScan 向服務器端發送的帶有跨站腳本攻擊的數據

　　通過點擊“在瀏覽器中顯示”的方式，我們可以得以在 AppScan 內嵌瀏覽器中將這個跨站腳本攻擊問題復現。

　　圖 11. 在 AppScan 內置瀏覽器中進行 XSS 問題復現

　　通過上面的掃描示例我們不難看出，基于黑盒的滲透測試確是有較為高的準確率。在軟件開發生命周期中，滲透測試可以幫助測試人員、QA 人員在 FVT、UAT 等階段發現軟件安全問題。

文章來源于領測軟件測試網 http://www.kjueaiud.com/