Web安全测试规范(13)

执行步骤 1、 以超级管理员身份登陆Web网站 2、 单击鼠标右键，选择“查看源文件” 3、 在网页“源文件”中查找重要的管理菜单（比如用户管理）的URL链接，并拷贝URL链接地址 4、 退出登陆 5、 以普通用户身份登陆Web网站 6、 在浏览器地址栏中输入“用户管理”的URL地址（如http://www.exmaple.com/usermanage.do），然后回车 7、 观察普通用户是否能够顺利进入“用户管理”页面，并进行用户管理操作。 预期结果 备注 测试结果 普通用户不能够通过直接URL访问、使用未授权的功能。 文档名称

文档密级

编号 测试用例名称 测试目的 用例级别 测试条件 SEC_Web_ PRIVI_04 基于源代码的测试 发现页面中存在的纵向越权操作。 3 4、 Web业务运行正常 5、 Web业务存在身份级别控制 6、 拥有Web应用的源代码，假设存放目录为测试用机的c:\\webapp目录，且假设页面为jsp 7、 已知本目录对应的Web路径，假设为http://192.168.1.1/webapp/ 执行步骤 1、 使用无权限的用户身份访问Web应用，保持浏览器窗口。 2、 cd /d c:\\webapp 3、 dir /B *.jsp >list.html 4、 使用ultraedit打开list.html 5、 点击Search->Replace按钮 6、 在弹出的对话框中使用 \替换 ^p 7、 用测试第一步中保持的浏览器打开list.html文件 8、 依次点击test连接 9、 观察结果，如果能够访问，则进行记录 10、 使用的低级别的用户身份登陆系统，保持浏览器窗口 11、 重复8，9步操作 12、 观察结果

预期结果 备注 测试结果 不能够访问页面（如提示“拒绝访问”等信息）。 文档名称

文档密级

编号 测试用例名称 测试目的 用例级别 测试条件 SEC_Web_ PRIVI_05 基于crawling的测试 发现页面中存在的纵向越权操作。 1 1、 Web业务运行正常 2、 Web业务存在身份级别控制 3、 已知待测目标URL，假设为http://www.exmaple.com/page.xxx 4、 测试用机上安装了AppScan 执行步骤 1、 双击运行AppScan，选择file—new新建扫描，选择扫描模板default 2、 弹出扫描配置对话框，选择扫描类型，默认为Web Application Scan，点击next 3、 在Starting URL中填入需扫描的目标服务器域名或IP地址，其他配置不需修改，点击next 4、 选择默认的Recorded Login(recommended method)，点击New 5、 在弹出的页面中用权限较高的用户身份登录，如：admin等 6、 关闭页面，弹出如下对话框，点击OK

文档名称

文档密级

7、 不需修改任何参数，点击next 8、 不需修改参数，选择Start a full automatic scan，点击finish完成配置，开始扫描 9、 扫描完成，保存扫描结果，假设命名为admin.scan 10、 重新开始扫描，重复步骤1、2、3 11、 在选择用户身份（即：第4步）时，选择NoLogin，点击next

12、 在弹出的配置对话框中（即：第7步的对话框）选择Advanced Test Settings，弹出下面对话框，点击Configure选项 文档名称

文档密级

13、 在Privilege Escalation中，点击Add添加已经扫描出的结果；点击打开导入扫描结果；并用一个名称标记它，如：admin，点击ok

文档名称

文档密级

14、 然后点击ok返回扫描配置对话框，如第7步的图示，点击next 15、 到第8步所示对话框中，不需修改参数，点击finish开始做越权扫描 16、 扫描完成，保存结果 17、 分析扫描结果 预期结果 备注 参考资料 扫描结果中不会提示存在漏洞。 3.7 文件上传下载测试 3.7.1 文件上传测试