WEB通用测试checklist(1)

Web开发者必备：Web应用检查清单开发∙记录UI错误日志JavaScript 允许捕获异常。

这些异常需要通过Ajax请求提交到日志服务，否则很难截获Web 环境中的错误。

∙可交换的数据层数据层可分离，也可以与另一个遵从规范的数据层互换。

∙部署过程自动化部署过程应自动化。

生产环境所用的项目文件应由部署服务器生成，并在无人工干预的情况下自动完成。

∙使用版本控制系统版本控制系统保存代码更改的历史，防止现有代码的丢失。

同时，它还有助于协同开发。

GitHub是这项服务最流行的提供商。

除此以外，还有BitBucket。

微软也有提供了额外协作特性的Team Foundation。

∙代码审阅人总会有写错代码的时候，而代码审阅系统能保证开发者的高质量产出。

同时，该系统还能让不止一位开发者熟悉代码。

在某段代码的作者不在的时候，其他开发者可以顺利地做出修改。

GitHub和Team Foundation都提供了相应的代码审阅功能。

∙权限与角色系统每个应用都需要设计实现权限和角色系统。

设立系统管理员，用户管理员等角色需要一个灵活的全局角色系统。

∙记录所有未处理的错误所有错误应当记录下来，并用于未来的全面检查。

也就是所有错误都应当提交给全局错误记录机制。

∙测试过程自动化每次部署前，测试服务器应当运行所有测试。

代码测试通过时部署应用，没能通过时报告给系统管理员。

∙业务层可以在不同环境上使用业务层中的代码必须通用。

即使代码本身面向Web环境，它也应当能在不要求改变代码的情况下使用于桌面环境，服务器环境，移动设备环境的不同用户界面，不同数据层上。

∙制定编码规范一份规定明确的编码规范在未来项目开发的过程中起到重要作用。

方法前需要写上注释吗？命名规范是什么？示例代码应放置何处？∙开发者机器配置的指导方案开发时最耗时的问题是不同的开发者之间的开发环境不同。

需要让人们知道的是，他们应当安装什么软件，使用的是什么版本，同时需要安装什么组件，以及怎样安装这些组件。

第 2 部分: 导航和链接导航和链接测试包含的范畴在 Web 开发测试中，导航和链接为用户提供了丰富的操作体验，用户可以通过导航和链接实现对各类数据的访问。

导航，从基本意义上理解，就是当用户触发该导航操作后，用户界面将被指向当前系统的另外一个目的页面的过程，换句话说，导航实现了在系统内部从一个数据页面到另外一个数据页面的变化过程，这有助于用户更加方便快捷的访问关联的数据内容。

链接，在这里我们指的是从 Web 产品内部直接连接到外部目的地址的超链接。

对于本文中提到的导航和链接，简单来说，可以这样理解：导航是 Web 产品内部的跳转和移动，链接是从 Web 产品内部对外部地址的访问。

导航 Checklist 介绍表 1. 导航 Checklist 总结序号Checklist1.1 检查滚动条在需要时是否能正确显示1.2 验证网页上的所有操作均可以通过键盘操作完成1.3 面包屑导航是否存在？1.4 确保在未保存当前页面时离开页面有用户提示信息1.1 检查滚动条在需要时是否能正确显示滚动条的显示在网页导航中的作用非常重要。

在需要时，滚动条的恰当显示是必要的。

下面通过几个例子来演示滚动条在网页产品中可能遇到的一些缺陷实例。

图 1. 冗余的滚动条显示从图 1 中可以看到，该网页窗口中，当前并没有显示任何超出窗口显示范围的内容，但依然显示了水平和垂直两个方向的滚动条。

此时，这两条滚动条是多余的，是产品的一个缺陷。

图 2. 滚动条在窗口尺寸变化需相应变化通常情况下，滚动条位于一个显示区域的边缘，当位于该边缘的另外一个区域尺寸发生变化时，滚动条的位置也需要随之发生变化。

如图 2 中所示，当图中下端的预览窗口尺寸发生变化时，上端的滚动条并未跟随相应的移动到预览窗口的上边界，从而出现了中间的空白区域，此问题是一个产品缺陷。

1.2 验证网页上的所有操作均可以通过键盘操作完成考虑到软件产品的用户很广泛，需要保证在仅操作键盘的情况下，依然可以完整的使用网页产品的所有功能。

Web Checklist1、概述网站程序的安全是系统开发人员必须考虑的重要因数之一，因为这涉及到网站的建设者、网站用户的诸多安全问题，如果不处理好，可能会给系统的使用者和管理者带来严重问题。

同时Web应用程序的安全解决方案不仅是技术问题，还涉及到管理等多个方面。

本规范仅从以下几个方面来阐述最常见的、基本的安全问题。

1.1、SQL注入1) 在组合SQL语句时要使用SQL变量绑定功能；2) 如果数据库不提供变量绑定，那么需要对构成SQL的所有变量进行转义；3) 不要将错误信息原封不动地显示在浏览器中；4) 应该为访问数据库的用户设置适当的权限。

1.2、操作系统命令行注射1) 应避免使用能启动shell命令的语言；2) 使用的语言如果允许启动shell命令，则需要对该功能的参数种的所有变量进行检查，确保只包含合法的操作。

1.3、检查路径名参数/目录遍历1) 不要将外部传进来的参数直接作为文件名来使用；2) 将打开文件的操作限制在固定的目录中，并禁止文件名中包含路径；3) 应为Web服务器上的文件设置正确的访问权限；4) 检查文件名。

1.4、会话管理的问题1) 用难以推测的内容作为会话ID ；2) 不要在URL中保存会话ID ；3) 为https协议中使用的cookie设置secure属性；4) 登录成功后应生成新的会话；5) 登录成功后，在会话ID之外再生成一个秘密信息，每次访问页面时都检查之；6) 不使用固定值作为会话ID ；7) 将会话ID保存到Cookie中时，要设置有效期限。

1.5、跨站脚本攻击(XSS)不允许输入HTML内容时的解决方法：1) 输出到页面上的所有内容都要转义；2) 输出URL时仅允许以“http://”或“https://”开头的URL；3) 不要动态生成<script>...</script>的内容；4) 不要从外部网站读入样式表；5) 检查输入内容；允许输入HTML内容时的解决方法：1) 解析输入的HTML内容，生成解析树，然后提取其中的非脚本部分；2) 使用脚本删除输入的HTML内容中的相关字符串；3) 应答的HTTP头重指定Content-Type的charset属性；4) 为避免Cookie情报泄漏，应禁止Trace方法，并对所有Cookie 设置HttpOnly属性。

检查项目检测内容过期、备份、测试页面检查WEB站点是否存在以下内容：过期页面或站点、用于备份网站内容的页面或压缩包、用于测试WEB应用运行状态的测试页面信息泄露检查WEB应用默认错误页面是否会泄露应用版本信息、主机IP、物理路径等，检查页面源文件是否泄露内部IP、绝对路径等，检查是否存在.svn目录用户枚举检查是否能通过用户登录页面、密码取回页面对系统存在的用户名进行猜测口令暴力破解检查对用户登录是否有错误次数限制，是否会在规定错误次数后，对用户进行锁定或冻结图形验证码检查用户登录页面是否使用了图形验证码技术，用户登录失败后是否会在服务端对当前验证码进行强制刷新密码修改检查用户登陆后在修改当前密码时，是否会要求输入原密码或要求进行二次认证会话超时检查用户登录并空闲一定时间后，是否会对用户会话进行检测，对超时会话进行自动终止cookie内容检查当前登录用户的cookie内容是否包含用户口令信息或简单加密后口令内容绕过授权检查当前登录用户是否能够通过修改提交参数、URL地址访问非授权页面或数据权限提升检查当前用户能否通过修改提交参数，修改当前用户权限用户弱口令检查当前系统是否存在弱口令账户目录遍历检查是否存在目录遍历漏洞后台管理路径检查是否存在默认的后台管理路径业务逻辑检查当前系统在处理其业务功能时，是否存在逻辑错误跨站漏洞检查当前站点是否存在跨站脚本攻击漏洞SQL注入检查当前站点是否存在SQL注入漏洞命令执行检查当前站点是否存在远程命令执行漏洞文件上传检查当前站点是否存在任意文件上传漏洞文件包含检查当前站点是否存在远程、本地文件包含漏洞文件下载检查当前站点是否存在任意文件下载漏洞说明级别检查方法WEB站点存在的过期、备份、测试页面，往往会泄露页面源代码、网站目录文件、站点绝对路径等敏感信息低使用具有网页爬虫功能的WEB扫描软件对站点文件进行列举，使用字典文件对WEB站点可能存在的敏感文件进行探测WEB应用默认错误页面，如:401、404、500；页面源文件；.svn目录往往会泄露应用程序版本信息、IP信息、物理路径等敏感信息低使用WEB漏洞扫描工具对站点页面进行爬虫测试，或手工输入错误、超长等URL，根据WEB服务器返回的错误信息进行判断通过登录页面的错误信息提示，如：用户密码错误、用户名不存在、请输入正确的用户名等，能够对用户名进行枚举低在用户登录页面输入错误用户名及密码、在密码找回页面输入任意用户名，根据返回的错误信息提示，确认存在用户枚举漏洞若对用户错误登录次数未做限制，可使用HTTP Fuzzer工具对用户口令进行暴力破解中在用户登录页面对某用户连续输入错误的用户口令，测试是否会提示登录限制提示登录页面若未使用验证码技术可对用户口令进行暴力猜解，验证码在服务端未做强制刷新，或在本地使用js刷新情况下验证码均可被绕过低在用户登录失败后，测试验证码是否会自动刷新，抓包分析验证码刷新是否在服务端进行已登录用户在修改密码时，若未要求输入原密码或二次认证时，可能会被他人恶意修改低尝试修改当前用户密码，测试是否必须输入旧密码或进行手机短信等二次认证对用户登录若未设置会话超时并自动终止，当前会话可能会被他们恶意利用低测试用户空闲一定时间后，再次操作页面时，是否会被要求重新进行身份验证cookie内容处理不当，可能导致cookie欺骗、跨站、网络钓鱼等攻击，从而导致账户信息泄露中用户登陆后，使用cookie查看、管理工具查看当前cookie是否包含明文密码或简单加密后的账户信息系统中部分页面对用户权限控制不严格，导致用户可以绕过当前权限访问其他用户页面获取非授权的数据信息高在提交用户参数时，使用HTTP代理软件对数据进行截断，并修改其中的用户信息为他人账号；修改当前地址栏中URL关键参数，测试能否参看、修改他人页面或数据系统中按照用户的不同级别，使用ID值来进行区分，在用户提交的数据包中，使用当前ID值来判断用户级别，对该ID 值进行篡改后，可以以高权限用户身份进行操作或将当前用户加入到高权限用户组高使用HTTP代理软件将用户提交数据包进行截断，测试是否包含标识用户身份的ID值，修改当前ID为其他用户组，测试是否能获取其他用户组权限系统为设置用户口令策略，部分用户为方便记忆而设置了弱口令，可以被他人轻易猜解高使用类似：账户名、123456、111111、abc123等弱口令，尝试能否利用当前用户登录成功，使用Acunetix WVS并结合弱口令字典对用户口令进行破解WEB应用对目录未作安全限制，导致在URL中直接对某目录进行访问时，不会返回403错误，而直接显示当前目录下的所有文件中在URL中直接访问站点目录名，测试是否会显示目录文件信息；使用WEB漏洞扫描工具对站点进行扫描探测当前系统管理后台是否使用了常见的管理目录名、路径，如admin、manager、admin_login.php等中手工使用常见后台路径进行猜测；使用WEB漏洞扫描工具对站点进行爬虫及目录猜解；使用字典文件对可能存在的后台路径进行探测系统在处理某些流程中，某些环节存在设计缺陷，在逻辑上可以在某些环节直接绕过，如：短信验证码绕过、注销任意登录用户高使用HTTP代理软件将提交及返回的数据包进行截获，分析其中包含的关键字段、参数，测试能否对业务处理过程中的某些流程进行绕过系统对用户的输入信息未作任何检查及过滤，而直接输出到用户浏览器，导致跨站攻击，该漏洞常被用于：挂马、盗取cookie等攻击中在存在用户交互的页面，提交类似<script>alert(“xss”)</script>的跨站测试代码，测试系统是否对特殊字符进行了过滤；使用WEB漏洞扫描工具进行跨站漏洞探测系统将用户输入未经检查就用于构造数据库查询，用户据此漏洞可以对数据库信息进行查询、修改、删除等操作，将导致管理员信息、用户信息直接泄露高在URL参数值后面提交类似：'、and1=1、-1等注入测试语句，根据页面返回内容判断是否存在注入漏洞；使用WEB漏洞扫描工具进行SQL注入探测系统对用户提交的请求缺少正确性过滤检查，用户可提交恶意命令的参数，在系统上执行系统命令高使用WEB漏洞扫描工具对站点进行扫描，通过不断尝试修改提交参数，测试是否存在命令执行漏洞系统上传页面对用户身份未进行验证，导致任意用户可直接访问上传页面，并具有任意文件上传权限；用户登陆后具有文件上传权限，但未对文件格式做严格限制，可上传恶意的脚本文件到远端主机高使用WEB漏洞扫描工具或结合字典文件对系统存在的上传页面进行探测；测试上传页面是否在服务端对文件格式有严格限制；用户登陆后查找文件上传点，测试能否上传任意文件系统使用某些危险函数去包含任意文件时，对要包含的文件来源过滤不严，用户可以构造文件路径，使程序能包含该文件，从而获取到文件内容或执行远程恶意脚本高手工在URL中对某些参数使用类似../../的路径替换，测试是否能包含上级目录或系统文件；使用WEB漏洞扫描工具进行自动化扫描测试系统对外提供了文件下载功能，但文件下载对路径未做安全过滤，用户可以构造文件路径，对主机上任意文件进行下载中手工在URL使用类似../../来构造文件下载路径，测试能否对主机其他文件进行下载；使用WEB漏洞扫描工具进行自动化测试支持工具Acunetix WVS、wwwscan、绿盟极光漏洞扫描器Acunetix WVS、绿盟极光漏洞扫描器手工输入验证手工输入验证Fiddler、Firefox 手工输入验证手工输入验证FirefoxFiddler、Firefox Fiddler、Firefox Acunetix WVS。