Web安全测试规范(11)

编号 SEC_Web_ SESSION_02

测试用例名称 测试目的 Cookie存储方式测试 某些Web应用将SesssionId放到了URL中进行传输，攻击者能够诱使被攻击者访问特定的资源，例如图片。在被攻击者查看资源时获取该SessionID（在HTTP协议中Referer标题头中携带了来源地址），从而导致身份盗用。 用例级别 测试条件 1 1、 已知Web网站地址 2、 Web业务运行正常 3、 Web业务存在登陆认证模块 4、 已知正确的用户名、口令 执行步骤 1、 登录系统。 2、 请求不同的业务应用 3、 观察URL。 预期结果 备注 测试结果 URL中没有携带Session ID信息（可能是sid,JSESSIONID等形式）。 文档名称

文档密级

3.5.3 用户注销登陆的方式测试

编号 测试用例名称 测试目的 用例级别 测试条件 SEC_Web_ SESSION_03 用户注销登陆的方式测试 查看是否提供注销登陆功能 1 1、 已知Web网站地址 2、 Web业务运行正常 3、 Web业务存在登陆认证模块 4、 已知正确的用户名、口令 执行步骤 1、 使用正常的用户、口令登录系统。 2、 查找登陆后的所有页面中是否存在明确的“退出”或“注销”（或类似）的按钮或者链接 预期结果 备注 测试结果 登陆后的页面中有明确的“退出”或“注销”按钮。