测试计划
测试计划¶
项目概述¶
Petclinic 是一个宠物医院系统。系统中可以完成宠物主人信息、宠物信息、宠物主人与宠物的对应关系管理以及宠物医生对应的信息管理。本次测试的功能为系统安全测试，包括输入验证、身份认证、权限控制、数据传输等安全方面的测试。
测试目标¶
通过安全测试，达到以下目标：
- 验证系统对恶意输入的防护能力
- 验证用户身份认证的安全性
- 验证用户权限控制的有效性
- 验证数据传输的安全性
- 识别和修复安全漏洞
- 建立安全基线数据
测试范围和重点¶
安全测试模块¶
- 输入验证安全测试
- 身份认证安全测试
- 权限控制安全测试
- 数据传输安全测试
- 会话管理安全测试
- 日志审计安全测试
安全威胁类型¶
- SQL注入攻击
- XSS跨站脚本攻击
- CSRF跨站请求伪造
- 越权访问攻击
- 会话劫持攻击
- 暴力破解攻击
测试场景¶
- 自动化安全扫描
- 手工安全测试
- 渗透测试
- 漏洞验证测试
- 安全配置测试
测试策略¶
安全测试方法¶
- 使用OWASP ZAP进行自动化安全扫描
- 使用Burp Suite进行手工安全测试
- 使用SQLMap进行SQL注入测试
- 使用Nmap进行网络扫描
- 使用Nikto进行Web漏洞扫描
测试策略¶
- 先进行自动化扫描，识别潜在漏洞
- 再进行手工测试，验证漏洞真实性
- 最后进行渗透测试，验证漏洞可利用性
- 提供详细的修复建议和方案
数据收集策略¶
- 收集安全漏洞信息
- 收集攻击日志数据
- 收集系统配置信息
- 收集安全基线数据
项目里程碑¶
| 任务 | 开始时间 | 结束时间 |
|---|---|---|
| 需求了解/评审 | 20xx/xx/27 | 20xx/xx/27（1天） |
| 测试环境搭建 | 20xx/xx/28 | 20xx/xx/29（2天） |
| 安全工具准备 | 20xx/xx/30 | 20xx/xx/31（2天） |
| 测试脚本编写 | 20xx/xx/01 | 20xx/xx/03（3天） |
| 自动化安全扫描 | 20xx/xx/04 | 20xx/xx/05（2天） |
| 手工安全测试 | 20xx/xx/06 | 20xx/xx/08（3天） |
| 渗透测试 | 20xx/xx/09 | 20xx/xx/10（2天） |
| 漏洞验证测试 | 20xx/xx/11 | 20xx/xx/12（2天） |
| 安全配置测试 | 20xx/xx/13 | 20xx/xx/13（1天） |
| 测试结果分析 | 20xx/xx/14 | 20xx/xx/15（2天） |
| 测试报告编写 | 20xx/xx/16 | 20xx/xx/16（1天） |
测试资源¶
人力资源¶
- 安全测试leader 1名
- 安全测试工程师 2名
- 渗透测试工程师 1名
- 系统管理员 1名（支持）
环境资源¶
- 安全测试环境：独立服务器
- 渗透测试环境：虚拟机
- 漏洞扫描环境：扫描工具
- 安全工具：OWASP ZAP、Burp Suite等
工具资源¶
- 自动化扫描工具：OWASP ZAP 2.12.0
- 手工测试工具：Burp Suite 2022.12.0
- 网络扫描工具：Nmap 7.92
- SQL注入工具：SQLMap 1.7.0
- Web漏洞扫描工具：Nikto 2.1.6
测试环境配置¶
硬件配置¶
| 组件 | 配置 | 备注 |
|---|---|---|
| 安全测试服务器 | CPU: 8核, 内存: 16GB, 硬盘: 200GB SSD | 安全测试环境 |
| 渗透测试服务器 | CPU: 4核, 内存: 8GB, 硬盘: 100GB SSD | 渗透测试环境 |
| 扫描工具服务器 | CPU: 4核, 内存: 8GB, 硬盘: 100GB SSD | 漏洞扫描环境 |
软件配置¶
| 软件 | 版本 | 配置参数 | 备注 |
|---|---|---|---|
| Kali Linux | 2022.4 | 默认配置 | 渗透测试系统 |
| OWASP ZAP | 2.12.0 | 默认配置 | 安全扫描工具 |
| Burp Suite | 2022.12.0 | 专业版 | 手工测试工具 |
| Nmap | 7.92 | 默认配置 | 网络扫描工具 |
测试数据准备¶
恶意输入数据¶
| 数据类型 | 数据量 | 生成方式 | 备注 |
|---|---|---|---|
| SQL注入payload | 100条 | 脚本生成 | 恶意SQL语句 |
| XSS攻击payload | 50条 | 脚本生成 | 恶意脚本代码 |
| 命令注入payload | 30条 | 脚本生成 | 恶意系统命令 |
| 路径遍历payload | 20条 | 脚本生成 | 恶意路径字符串 |
测试用户数据¶
| 用户类型 | 用户数量 | 权限级别 | 备注 |
|---|---|---|---|
| 管理员用户 | 5个 | 最高权限 | 测试权限控制 |
| 普通用户 | 10个 | 普通权限 | 测试越权访问 |
| 受限用户 | 5个 | 受限权限 | 测试权限提升 |
测试场景设计¶
1. 自动化安全扫描场景¶
目的： 快速识别系统潜在安全漏洞
测试参数： - 扫描工具：OWASP ZAP - 扫描范围：全站扫描 - 扫描深度：深度扫描 - 扫描时间：2小时
预期结果： - 识别潜在安全漏洞 - 生成漏洞报告 - 提供修复建议
2. 手工安全测试场景¶
目的： 验证自动化扫描发现的漏洞
测试参数： - 测试工具：Burp Suite - 测试范围：重点功能模块 - 测试深度：详细测试 - 测试时间：3天
预期结果： - 验证漏洞真实性 - 评估漏洞风险等级 - 提供详细修复方案
3. 渗透测试场景¶
目的： 验证漏洞的可利用性
测试参数： - 测试工具：Kali Linux工具集 - 测试范围：系统级测试 - 测试深度：深度渗透 - 测试时间：2天
预期结果： - 验证漏洞可利用性 - 评估攻击影响 - 提供防护建议
4. 漏洞验证测试场景¶
目的： 验证漏洞修复效果
测试参数： - 测试工具：多种工具组合 - 测试范围：已修复漏洞 - 测试深度：验证测试 - 测试时间：2天
预期结果： - 验证漏洞已修复 - 确认无新漏洞产生 - 更新安全基线
5. 安全配置测试场景¶
目的： 验证系统安全配置
测试参数： - 测试工具：配置扫描工具 - 测试范围：系统配置 - 测试深度：全面检查 - 测试时间：1天
预期结果： - 检查安全配置 - 识别配置缺陷 - 提供配置建议
风险列表¶
本次测试过程中，可能出现的风险如下：
- 安全测试可能影响系统正常运行
- 恶意测试数据可能造成系统损坏
- 渗透测试可能触发安全告警
- 测试环境配置不当影响测试结果
- 测试时间安排不合理影响测试进度
质量保证¶
测试覆盖率¶
- 安全威胁覆盖率：100%
- 功能模块覆盖率：100%
- 测试场景覆盖率：100%
测试质量标准¶
- 所有安全威胁必须测试
- 测试数据必须真实有效
- 测试结果必须准确可靠
- 测试报告必须详细完整
交付物¶
- 安全测试脚本
- 测试数据文件
- 测试执行报告
- 安全漏洞报告
- 修复建议文档
- 安全基线数据