基于渗透测试和源代码扫描的软件安全测试和开发

自从软件诞生起，软件的安全性一直就是每一个程序员不可回避的问题。面对“如何开发出具有高安全性软件”与“如何利用软件漏洞进行攻击”，安全防护人员和黑客，就像中国武侠中的白道高手与黑道高手一样，在相互的较量中提升自己的功力。

自从软件诞生起，软件的安全性一直就是每一个程序员不可回避的问题。面对“如何开发出具有高安全性软件”与“如何利用软件漏洞进行攻击”，安全防护人员和黑客，就像中国武侠中的白道高手与黑道高手一样，在相互的较量中提升自己的功力。随着计算机语言的不断进化和互联网时代的到来，软件所面临的安全性问题也在发生着巨大改变。如果将最初的单机病毒攻击成为软件安全的第一纪，网络攻击称为第二纪的话，那我们现在正处在软件安全的第三纪 -- 应用攻击。Gartner 的数据显示，75% 的黑客攻击发生在应用层。而来自 NIST 的数据更为惊人，有 92% 被发现的漏洞属于应用层而不是网络。

图 1. 来自 Gartner 和 NIST 的数据

在这些软件安全问题中，由于没有在软件设计和开发的过程中引入安全开发和测试的情况占了很大比例。其实，从 1968 年软件工程诞生以来，人们一直企图在软件开发生命周期（SDLC）中引入安全开发的理念和方法，并由此出现了安全开

发生命周期（Secure Development Lifecycle）。在本文中，我们就将结合示例来讨论一下如何能够在软件开发生命周期中进行软件安全开发和测试的问题。

图 2. 安全开发生命周期示意图

软件安全的“闻问望切”—基于黑盒的渗透测试

无论是在传统的瀑布模型开发还是在方兴未艾的敏捷软件开发中，软件测试都是重中之重。基于黑盒的渗透测试，是一种有效地将软件安全性测试引入软件开发生命周期（SDLC）中的方法。目前，许多软件厂商都有针对各自技术研发出的渗透测试产品，如 IBM 的 AppScan、HP 的 WebInspect 等。说到渗透测试，就不能不提到由 Barton Miller 和 Lars Frederickson 等人在 1990 年提出的 Fuzz 技术。传说在 1989 年一个雷电交加的夜晚，Barton Miller 用 Modem 连接自己的主机时，一个闪电过后，电路中的高低位互换了，Miller 由此想到了利用“crash、break、destroy”的方式来进行软件测试的技术——fuzz。著名的 Fuzz 工具有 Fuzzing 网络协议的 SPIKE、大桃子 Peach等等。Fuzz 技术自上世纪 90 年代初期起，慢慢的广泛应用于系统平台测试，应用软件测试和网络安全测试中。

下面我们将展示如何针对一个 Web 应用进行基于安全漏洞检测的渗透测试。在这里我们选用 IBM Rational AppScan Standard Edition V7.8 （以下简称 AppScan）作为测试工具。

首先，我们在 AppScan 里建立一个新的扫描。AppScan 提供了许多预定义的扫描模板来帮助工程师建立针对不同 Web 应用和 Web Service 的扫描。

图 3. 用 Rational AppScan 模板创建扫描

在这个示例中，我们将对架设在笔者本地的 Tomcat V5.5 服务器上一个名为 AltoroMutual 的电子商务系统进行安全渗透测试。

图 4. 扫描 URL 配置

完成指定扫描的起始 URL 后，我们将一个拥有普通用户权限的用户名和密码输入到 AppScan 的自动登录选项中。AppScan 还支持通过录制并在测试时播放的方式进行登录。

图 5. AppScan 扫描登录配置

在 AppScan 中，测试策略的选择会对不同的 Web 应用和 Web Service 产生影响。在本示例中我们仅选择了针对 Web 应用和 Tomcat 应用服务器的具体中高漏洞等级的自定义测试策略。其实当我们打开每一个具体的测试策略时，会发现AppScan 在其中定义了包括针对 Java、.NET、PHP 等不同类型网站测试类型种类和相应安全问题严重程度的级别。

图 6. AppScan 安全测试策略配置

图 7. AppScan 安全测试策略的详细内容

通过设置 URL 入口、登陆方式和测试策略，AppScan 可以快速完成 Web 应用扫描的配置，从而开始漏洞检测。其实，除了上述几种设置，我们在图 7 左侧还可以发现更为完善的测试配置项，比如对参数和 Cookie 的设置，对扫描访问的 URL 深度和广度进行配置，对需要填充的表单如何填写等等。

图 8. 进行扫描中与发现的部分安全问题

AppScan 的扫描分为二部分，首先是进行探索，将发现的 URL 进行记录；其次进入实际的测试步骤，将利用之前我们设定的测试策略进行渗透测试。下图是 AltoroMutual 应用经过 AppScan 黑盒测试发现的部分安全问题。在 AppScan 主窗口左上方显示的 AltoroMutual 被扫描出的网站 URL 结构图，每个 URL 上发现的安全漏洞被标注在该 URL 后。左下方的仪表板显示了安全问题的汇总，由于我们设定只针对中高级别的安全问题进行显示，所以 Low Level、Info Level 的问题数量为 0。右上方将扫描出安全问题的种类和相应的 URL 一一罗列出来，而在其下方是每一个安全问题的详细描述、修复建议和问题复现。

图 9. AppScan 扫描完成后的主窗体

一般来讲，基于黑盒的渗透测试具有较高的测试准确率，但是我们依旧需要对扫描出的安全问题进行分析和甄别，从而给出合理的安全级别和修复建议。在本例中，我们具体分析一下 AltoroMutual 应用中存在的跨站脚本攻击（XSS）问题。

点击存在 XSS 问题的 URL“http:// https://www.360docs.net/doc/1b16247305.html, /altoromutual/sendFeedback”中“name”，可以看到产生这个 XSS 问题的详细信息，我们通过查看“请求 / 响应”来对该漏洞进行复现和判断其严重程度。点击“请求 / 响应”的标签后，我们发现 AppScan 发送了如下的内容给 AltoroMutual。利用将

“1234>%22%27>”插入到 cfile=comments.txt&name 后，实施 XSS 攻击。

图 10. AppScan 向服务器端发送的带有跨站脚本攻击的数据

通过点击“在浏览器中显示”的方式，我们可以得以在 AppScan 内嵌浏览器中将这个跨站脚本攻击问题复现。

图 11. 在 AppScan 内置浏览器中进行 XSS 问题复现

通过上面的扫描示例我们不难看出，基于黑盒的渗透测试确是有较为高的准确率。在软件开发生命周期中，渗透测试可以帮助测试人员、QA 人员在 FVT、UAT 等阶段发现软件安全问题。

但是，渗透测试的全面性和覆盖率一直都是困扰着众多软件安全测试人员的问题。而且对于开发人员来说，他们更为关心如何能够在软件开发的早期阶段就能引入安全性的分析，让他们能够根据漏洞分析的提示，尽可能早地将安全问题Fix 在开发阶段，这就引入了基于白盒的源代码安全分析。

如果把检测软件漏洞比作去医院看病，那渗透测试就如同中医的“闻问望切”一般，通过给软件把脉，将病例病因一一道来。而基于白盒的源代码分析，更像是西医的内观外治，先做完 X 片、B 超，然后对症下药。

其实长久以来，基于黑盒的渗透测试和基于白盒的源代码分析到底谁更为有效的问题一直争论不下，以至于还有了灰盒测试（Gray Box）的出现。接下来就让我们一起通过示例看看白盒黑盒孰优孰劣。

给软件拍一张 X 光片—基于白盒的源代码分析

源代码分析技术由来已久，Colorado 大学的 Lloyd D. Fosdick 和 Leon J. Osterweil 1976 年的 9 月曾在 ACM Computing Surveys 上发表了著名的 Data Flow Analysis in Software Reliability，其中就提到了数据流分析、状态机系统、边界检测、数据类型验证、控制流分析等技术。随着计算机语言的不断演进，源代码分析的技术也在日趋完善，在不同的细分领域，出现了很多不错的源代码分析产品，如 Klocwork Insight、Rational Software Analyzer 和Coverity、Parasoft 等公司的产品。而在静态源代码安全分析方面，Fortify 公司和 Ounce Labs 公司的静态代码分析器都是非常不错的产品。2009 年 7 月底，IBM 发布收购要约，将 Ounce Labs 纳入 Rational 产品线。在本示例中，我们选用 Ounce Labs 的安全分析器（Ounce Security Analyst 6.1）和 Rational Software Analyzer 来分别对示例代码进行静态源代码安全分析和代码质量分析。

为了保持示例一致性，我们选用 AltoroMutual 应用的源代码进行静态分析。首先，我们用Ounce Security Analyst 6.1 进行源代码安全分析。

Ounce 的安全分析器（Ounce Security Analyst）支持多种部署方式，可以独立运行，也可以通过 Plug-in 的方式运行在软件开发人员的集成开发环境中。在软件开发生命周期（SDLC）中，对于开发人员，更多的是希望在日常的开发过程中能够进行源代码的安全分析和检查，因此在本文的示例中我们选择将 Ounce 安全分析器（Ounce Security Analyst）通过插件的方式 Plug-in 到基于 Eclipse 的 IBM Rational AppScan Developer Edition 7.8.1 中来使用。

图 12. Ounce Labs 在 RADE 中的插件

下面我们在装有 Ounce Security Analyst 的 Rational AppScan Developer Edition 中，将 AltoroMutual 的源文件导入，我们发现 Plug-in 后的 Rational AppScan Developer Edition 上会多了一个名称为 Ounce 的菜单。

图 13. 在 RADE 中将 AltoroJ 项目编译通过

对于一般的静态安全分析而已，保持代码在做静态安全分析前的可编译性是一项非常重要的工作。因此建议软件开发人员在进行静态安全分析前首先保证自己的代码是编译通过的。我们首先将 AltoroMutual 的源代码进行编译，然后在Ounce 菜单中选择对 AltoroMutual 源代码进行扫描。

下图中所示的是进行扫描之后的情况。在 Rational AppScan Developer Edition 的控制台中，我们看到 Ounce Security Analyst 总共扫描了 AltoroMutual 项目的 97 个源文件，在 10625 行代码里发现了 742 个安全问题，总共用时 62 秒。

图 14. 利用 Ounce Security Analyst 进行源代码扫描

将视图切换到 Ounce Labs Perspective 后，打开 Assessment Summary，我们可以查看发现的漏洞类别与数量。

图 15. 扫描发现的 Top10 的漏洞类别与数量

扫描完成后，Ounce Security Analyst 会在发现安全漏洞的源文件上加上小红叉作为标示，帮助开发人员快速对漏洞进行定位。左下方的漏洞描述与修复建议可以帮助开发者进行修复。SmartTrace 直观的将函数调用关系通过图示的方式展示出来，点击 SmartAudit 中的 item 开发者可以直接跳转到存在漏洞的代码行上进行工作。

图 16. Ounce Security Analyst 安全分析视图

针对前例中 AppScan 通过渗透测试扫描出来的 XSS 问题，我们来看看 Ounce 安全分析器是如何发现并定位该漏洞的。打开 XSS 的漏洞列表，我们从 FeedbackServelet.java 文件中发现这个 XSS 问题是由于在

“request.setAttribute("message_feedback", name);”这行代码中没有对 name 的输入值进行检测，允许了在 name 中包含跨站脚本攻击中经常使用的特殊字符，从而导致跨站脚本攻击问题。

图 17. 针对 XSS 问题的源代码分析

其实在某些时候，软件的安全问题也同样包含了软件的质量问题，例如在架构中不够良好的设计会导致系统的拒绝服务攻击，SQL 链接在异常时候的不当处理导致连接池资源没有释放等等。Rational Software Analyzer 是一个基于Eclipse 技术的软件分析工具，我们可以利用 Rational Software Analyzer 来对软件代码的质量和各种指标进行度量。

在示例中，我们选用 Rational Software Analyzer 7.0.1 来对相同的 AltoroMutual 项目进行代码质量扫描。首先，我们还是将 AltoroMutual 项目创建到 Rational Software Analyzer 的 workspace 中，并对该项目进行源代码分析的配置（如下图）。

图 18. 用 Rational Software Analyzer 进行代码质量分析的配置

通过扫描，我们可以从代码体系结构、软件度量、代码复审、数据流分析 4 个方面得到关于代码质量的问题数据。

图 19. Rational Software Analyzer 中对于软件度量的分析结果

在下图 Rational Software Analyzer 的数据流分析结果中，我们可以看到由于 SQL 链接在异常时不能释放而导致的资源泄漏问题。

图 20. Rational Software Analyzer 中基于数据流分析发现的资源泄漏问题

相似的，在 Ounce 中也可以发现这样既是安全也同样存在质量因素的漏洞。

图 21. Ounce 中针对相同资源泄漏问题的分析

总结

在本文中，我们通过对 Web 应用 AltoroMutual 进行渗透测试和源代码安全扫描，来对比黑盒动态测试和白盒静态分析在发现软件安全漏洞方面的功效，并利用 Rational Software Analyzer 在代码质量方面进行了粗浅的分析和与安全扫描的对比。

通过上述示例，我们发现源代码静态分析在代码扫描的覆盖率、发现安全问题的数量上有着不错的表现，并且能够找到大部分通过渗透测试发现的安全问题。但这并不能说静态分析在软件安全检测方面要优于渗透测试。静态分析的高覆盖率和扫描器的不同设置也导致了相对较高的误报率，而且静态代码的非运行性会导致了很多跟运行环境相关的安全漏洞通过静态安全分析无法发现。相对于此，渗透测试刚好可以弥补静态分析的这些劣势，虽然渗透测试发现安全问题的数量不如静态分析那么多，但是渗透测试的准确率和针对运行时态的实时检测都是其优势所在。所以渗透测试在软件开发生命周期中是不可或缺的一个环节。同样，我们看到软件的质量问题在源代码分析中也不能忽视。因此，一个理想的选择是：在整个软件开发生命周期中的不同阶段，针对不同的人员，引入相应的安全策略，制定合理的开发流程，从而达到提高软件安全性的目的。

全国自学考试软件开发工具试题

全国2008年10月自学考试软件开发工具试题全国2008年10月自学考试软件开发工具试题试卷内容预览网站收集有1万多套自考试卷，答案已超过2000多套。我相信没有其他网站能比此处更全、更方便的了。全国2008年10月自学考试软件开发工具试题课程代码：03173 一、单项选择题(本大题共10小题，每小题1分，共10分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.软件开发工具最重要的性能是( ) A.存储各种信息的能力 B.工具的可靠程度 C.版本管理的能力 D.帮助人们编写文档 2.计划工具是从( ) A.宏观的角度去看待软件开发 B.微观的角度去看待软件开发 C.宏观的角度去制定测试方案 D.微观的角度去制定测试方案 3.在论述程序结构时，E.Yourdon把程序的结构分解成三个基本模块，即( ) A.处理单元、循环机制、二分决策机制 B.处理单元、循环机制、控制转移机制 C.循环机制、二分决策机制、控制转移机制

D.处理单元、二分决策机制、控制转移机制 4.划分模块的基本要求是( ) A.模块间联系少，模块规模足够小，模块扇入数足够大 B.模块功能单一，模块间联系少，模块扇入数足够大 C.模块功能单一，模块间联系少，模块规模足够小 D.模块功能单一，模块规模足够小，使用逻辑耦合 5.在信息库(Repository)研究中的核心问题是( ) A.提高信息的共享性 B.保持信息的一致性 C.确保信息的准确性 D.保证信息的安全性 6.在PowerBuilder中，提供以自由表形式显示数据的是( ) A.应用程序对象 B.菜单对象 C.数据窗口对象 D.用户对象 7.在软件开发工具中，文档生成功能与代码生成相比( ) A.数量小，内容复杂 B.数量小,内容简单 C.数量大，内容复杂 D.数量大，内容简单 8.在AD／Cycle的跨周期管理中，在编码和测试阶段都使用的工具是( ) A.建模工具 B.分析工具 C.测试工具 D.生成工具 9.对软件开发工具进行审计(Audit)的基础是( ) A.功能完善的软件 B.日常记录的信息

安全知识考试试题以及答案

部门：姓名：分数：一、不定项选择题。（每小题2 分，共20分。多选或错选不得分；每少选一个选项扣分） 1、据统计，因火灾死亡的人中有80%以上属于（B）。 A、被火直接烧死 B、烟气窒息死亡 C、跳楼或惊吓致死 2、如果电视机着火了，应（B） A、迅速往电视上泼水灭火。 B、拔掉电源后，用湿棉被盖住。 C、马上拨打火警电话，请消防队来灭火。 3、停电时（AB）。 A、要尽可能用应急照明灯照明 B、要及时切断处于使用状态的电器电源，即关闭电源开关或拔掉插头 C、可以用汽油代替煤油或柴油做燃料使用 4、燃烧的必要条件是（ABC） A、可燃物 B、助燃物 C、引火源 D、有风力 5、身上着火后，下列哪种灭火方法是错误的（C） A、就地打滚 B、用厚重衣物覆盖，压住火苗

C、迎风快跑 6、如果高层建筑发生了火灾，你认为正确的做法是（C） A、迅速往楼上跑，以防被烟熏致死 B、第一时间选择从电梯逃生 C、用湿毛巾捂住口鼻，低下身子沿墙壁或贴近地面跑出火区 D、从窗口中跳下 7、假设你住在一个高层公寓楼的第16层，无法从窗口逃离房间，而过道里已是烟雾弥漫，你该怎么办（ABCD） A、立即返回房间，给消防队打电话 B、将湿毛巾围在门的周围 C、如果呼吸困难而周围尚未起火，在窗子的上方和下方各开一条缝 D、在窗前等待，以便向消防队员求救 8、B）必须分间、分库存储。 A、灭火方法相同的物体 B、容易相互发生化学反应的物品 C、以上两种答案都对 9、配电室发生火灾的原因有（ABCD） A、短路 B、过电荷 C、电弧 D、电火花 10、检查液化石油气管道或阀门泄漏的正确方法是（C） A、用鼻子嗅 B、用火试 C、用肥皂水涂抹 D、用试剂试二、填空题。（每空1分，共20分）

源代码安全管理制度V

技术部源代码控制管理制度V1.0 一、总则 1、目的: 为保障公司源代码安全不至于泄露，保证源代码的完整，明确源代码控制管理流程，特制定此管理办法。 2、使用范围: 本办法适用于所有涉及接触源代码的各部门各岗位，所涉及部门都必须严格执行本管理办法。 3、责权: 源代码直接控制管理部门为技术部。本办法管理重点在于控制管理源代码的完整性，不被非授权获取，不被非授权复制和传播。本办法所指源代码不仅限于公司开发人员自行编写实现功能的程序代码，而且还包括相应的开发设计文档及用于支撑整个平台系统运行所必须具备的第三方软件、控件和其它支撑库等文件。二、管理内容及要求(根据部门工作情况撰写) 1、源代码完整性保障所有系统的源代码及相应的开发设计文档均必须及时加入到指定的源代码服务器中的指定SVN库中。

我们研发的平台系统运行所必须的第三方软件、控件和其它支撑库等文件也必须及时加入源代码服务器中指定的SVN库中。功能开始编写或者调整代码之前，其相应的设计文档必须签入SVN库（由测试组文档管理员负责检查）。系统编码或代码调整优化结束后，提交技术测试组功能测试之前，相应的源代码必须提交到SVN库。测试组对功能进行测试时必须从源代码服务器上的SVN库中获取代码，包括必须的第三方软件、控件和其它支撑库等文件，然后进行测试。所有提交到SVN上的代码必须保证编译通过,而且提交的时候不会影响主干其它程序的正常运行. 2、源代码的授权访问源代码服务器对于共享的SVN库的访问建立操作系统级的，基于身份和口令的访问授权。（由SVN管理员进行管理和设置）在SVN库中设置用户，为不同用户分配不同的、适合工作的最小访问权限。要求连接SVN库时必须校验SVN中用户身份及其口令。在SVN库中要求区别对待不同用户的可访问权、可创建权、可编辑权、可删除权、可销毁权。每个用户切实保证自己的用户身份和口令不泄露,用户要经常更换自己在SVN库中账号的口令。同时，工作任务变化或岗位调整后SVN管理员要实时回收用户的相关权限。要获取不属于自己范围内的文件，例如：代码、数据库，需求文档等，需经项目经理和技术部经理审批同意后由SVN管理员授权。

WEB安全测试

Web安全测试——手工安全测试方法及修改建议发表于：2017-7-17 11:47 ?作者：liqingxin ? 来源：51Testing软件测试网采编字体：???|??|??|??|?|?推荐标签：??? 常见问题 (CrossSite Script)跨站脚本攻击 (CrossSite Script)跨站脚本攻击。它指的是恶意攻击者往Web 页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web 里面的html 代码会被执行，从而达到恶意用户的特殊目的。方法：? 在数据输入界面，添加输入：，添加成功如果弹出对话框，表明此处存在一个XSS?。或把url请求中参数改为，如果页面弹出对话框，表明此处存在一个XSS 漏洞修改建议：过滤掉用户输入中的危险字符。对输入数据进行客户端和程序级的校验（如通过正则表达式等）。 Eg:对用户输入的地方和变量有没有做长度和对”<”,”>”,”;”,”’”等字符是否做过滤与跨站脚本(XSS) CSRF与跨站脚本(XSS)，是指请求迫使某个登录的向易受攻击的Web应用发送一个请求，然后以受害者的名义，为入侵者的利益进行所选择的行动。测试方法：同个浏览器打开两个页面，一个页面权限失效后，另一个页面是否可操作成功使用工具发送请求，在http请求头中不加入referer字段，检验返回消息的应答，应该重新定位到错误界面或者登陆界面。修改建议：在不同的会话中两次发送同一请求并且收到相同的响应。这显示没有任何参数是动态的（会话标识仅在cookie 中发送），因此应用程序易受到此问题攻击。因此解决的方法为 Hashing(所有表单都包含同一个伪随机值)： 2. ?验证码 ‐Time Tokens(不同的表单包含一个不同的伪随机值)客户端保护措施：应用防止CSRF攻击的工具或插件。 3.注入测试

03173软件开发工具2009年10月份真题及答案

全国2009年10月高等教育自学考试软件开发工具试题课程代码：03173 一、单项选择题(本大题共10小题，每小题1分，共10分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.从60年代末期开始，人们对于软件工作的认识大大深入了，在认识到软件工作的重要性的同时，也认识到了软件工作的困难性。这就是所谓的（） A.软件的智能化问题 B.结构化程序设计的技巧问题 C.软件生存期的划分问题 D.软件危机问题 2.一般来说，软件开发工具对环境的要求（） A.与它所支持的应用软件的环境要求无关 B.依赖于它所支持的应用软件的环境要求 C.应当超出它所支持的应用软件的环境要求 D.不应当超出它所支持的应用软件的环境要求 3.属于软件开发工具的是（） A.COBOL B.DOS C.TOOLBOOK D.DBMS 4.编写文档的主要工作阶段是（） A.需求分析 B.总体设计 C.实现 D.测试 5.完成软件测试最合适的人员是（） A.编程者 B.软件负责人 C.用户 D.专门的小组 6.在软件开发过程中，有关系统环境、现状及需求的信息的提供者和采集者分别是（） A.分析人员用户 B.用户分析人员 C.分析人员设计人员 D.设计人员分析人员 7.在软件开发工具的概念模式中，描述系统状态及其转换方式的是（） A.结构图 B.数据字典 C.时序网络 D.直观模型

8.在软件开发过程中，建立逻辑模型应在（） A.需求分析阶段 B.编码阶段 C.分析设计阶段 D.测试阶段 9.在NEWCAFG中，构成Repository库的主体关系是（） A.系统类关系 B.属性类关系 C.实体类关系 D.联系类关系 10.在对市场上可供使用的软件开发工具进行调查研究时应包括的内容是（） A.软件开发工具供应商的规模 B.软件开发工具的管理者 C.软件开发工具的销售量 D.软件开发工具的服务和培训条件二、多项选择题(本大题共10小题，每小题2分，共20分) 在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。 11.软件开发工具在以下几方面提供支持（） A.认识与描述客观系统 B.存储及管理开发过程中的信息 C.代码的编写或生成 D.文档的编制或生成 E.为挑选管理人员提供必要的信息 12.NEWCAFG的安全保证主要措施是对信息库的（） A.密码设置 B.备份 C.恢复 D.访问控制 E.登记日志 13.质量好的软件应满足（） A.实现所要求的功能 B.界面友好 C.足够的运行速度 D.足够的可靠性 E.结构良好，文档齐全 14.模块的划分应符合（） A.功能尽可能单一、明确 B.模块间的联系尽可能少 C.明确说明模块间必需的联系 D.模块间仅限于数据耦合 E.模块的规模足够小 15.造成大型软件开发困难的原因有：（） A.大系统的复杂性 B.人员的组织与协调

全国1月自学考试软件开发工具试题

全国2013年1月自学考试软件开发工具试题课程代码：03173 一、单项选择题(本大题共20小题，每小题1分，共20分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出并将“答题纸” 的相应代码涂黑。错涂、多涂或未涂均无分。 1.在需求分析阶段，人们最希望软件开发工具提供的帮助是 A.认识与描述客观系统 B.存储及管理开发过程中的信息 C.文档的编制或生成 D.软件项目的管理 2.在实际工作中，数量最大的软件开发工具是 A.分析工具 B.计划工具 C.设计工具 D.软件工作环境 3.为了提高软件开发工作的水平和效率，人们提出了多种程序设计方法。其中，主要为项目管理者服务的是 A.结构化程序设计 B.软件工程方法 C.面向对象的方法 D.即插即用的程序设计 4.IBM公司宣布一个名为AD/Cycle的巨大的理论框架，标志着进入集成的软件开发环境阶段，时间是20世纪 A.80年代初 B.80年代末 C.90年代初 D.90年代末 5.在软件开发过程中，确定信息流通模型的阶段是 A.系统设计阶段 B.程序编码阶段 C.需求分析阶段 D.系统维护阶段 6.自行开发软件开发工具的主要缺点是 A.不易于商品化 B.不便于扩充 C.往往低估开发难度 D.目标不明确 7.在权衡购置或自行开发软件开发工具时不必．．考虑的因素是 A.人员的因素 B.准备从事的软件开发工作的性质与要求 C.资金的多少 D.开发人员对工作与支持程度的实际需要 8.不成功的商品化软件开发工具往往由于 A.应用范围广泛 B.应用范围专一

C.使用手册简单 D.使用手册复杂 9.2008年，国际电子电气工程师学会的权威刊物《软件》的九月/十月号，以“软件开发工具”(Software Development Tools)为题的一期专刊中概括了40年来软件开发工具的发展轨迹，指出抽象程度最高的软件开发工具是 A.Eclipse B.XMF Mosaic C.Delphi D.Turbo Oascal 10.以下几种语言及其开发工具中，发展潜力最差的是 A.VB B.VC C.PB D.C++Builder/Delphi 11.在大型软件开发中，程序员承担的工作是 A.验收模块 B.要求修改 C.交付检验 D.试运行 12.为创建一个C Project，在选择向导窗口“Select a wizard”对话框中打开C/C++文件夹，选择"C Project"后，单击的按钮是 A.Next B.Back C.Finish D.Cancel 13.为了在不影响程序行为的情况下进行系统范围内的代码更改，用户可以使用Eclipse的 A.重构功能 B.重命名功能 C.搜索功能 D.抽取方法 14.在GDB添加行断点时，应打开调试文件，从菜单中选择的选项是 A.Add Bookmark B.Disable Breakpoint C.Toggle Breakpoint D.Breakpoint Froperties 15.在Eclipse代码模板编辑中，变量用{ }括起来，开头的字符是 A.$ B.￥ C.& D.@ 16.在CVS中，获得工作备份的操作称为 A.输入 B.提交 C.签出 D.更新 17.在软件开发过程中，直接与设计方案关联的界面是 A.分析界面 B.编程界面 C.用户界面 D.管理界面

消防安全知识测试题和答案

消防安全知识测试题姓名班组得分一、单项选择（以下各题所给出的4个选项中，只有1项最符合题目要求，请将正确选项的代码填入括弧内。共20题，每题1分，合计20分） 1、我国消防的工作方针是（）。 A、安全第一、预防为主 B、预防为主、防消结合 C、安全第一，防消结合 D、预防为主、综合管理 2、火灾根据物质的燃烧特性分类，其中B类火灾是指（） A、液体火灾和可熔化的固体物质火灾 B、固体物质火灾 C、气体火灾 D、带电物体和精密仪器等物质的火灾 3、灭火过程中发现有人员触电，不可直接用（） A、木棒 B、竹杆 C、手 D、木棍 4、抗溶性泡沫灭火剂不能扑救下面什么物质？（） A、醇 B、醚 C、酰氯 D、酮 5、消防员呼救器的使用环境温度为（） A、-15—60度 B、-15—65度 C、-20—60度 D、-20—65度 6、空气呼吸器使用前气瓶的储存压力应为（） A、25—28MPa B、28—30MPa C、26—30MPa D、25—26MPa 7、下列哪种灭火方法不适用一甲胺？（） A、水 B、泡沫 C、二氧化碳 D、干粉 8、直流水可以扑救贮存下列哪种物质的火灾？（） A、硫酸 B、磷酸 C、盐酸 D、硝酸

9、下列（）灭火剂是扑救大型精密仪器火灾的最佳选择。 A、卤代烃 B、泡沫 C、二氧化碳 D、干粉 10、燃烧是一种放热发光的（）反应。 A、生物 B、物理 C、化学 D、自然 11、下列物体不能用消防腰斧破拆的是（） A、门窗 B、木楼板 C、栅条 D、带电设备 12、判断空气呼吸器是否处于正常工作状态的方法，当关闭气瓶阀时，在5分钟的时间内，压力下降（） A、不大于2兆帕 B、不大于兆帕 C、不小于2兆帕 D、不小于兆帕 13、空气中二氧化碳含量达到（）时，人会呼吸困难。 A、% B、% C、% D、% 14、N-甲基吗啉的灭火方式中不包括（） A、水 B、砂土 C、二氧化碳 D、干粉 15、金属锂只能使用下列哪种灭火方式？（） A、泡沫 B、干砂 C、二氧化碳 D、干粉 18、目前有（）家企业使用到氯气？ A、5 B、6 C、7 D、8 19、下列哪些物质不属于可燃粉尘？（） A、水泥粉 B、木粉 C、煤粉 D、面粉 20、下列什么水枪适合扑救气体火灾？（） A、直流水枪 B、喷雾水枪 C、脉冲水枪 D、带架水枪二、多项选择（以下各题的4个选项中，有1项或1项以上的符合题目要求，

Web安全之网页木马的检测与防御

Web安全之网页木马的检测与防御随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显，黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害。在Web安全的攻击种类中，网页木马一直是一个不容忽视的问题。黑客把一个木马程序上传到一个网站里面然后用木马生成器生一个网马，再上到空间里面，再加代码使得木马在打开网页里运行，从而获取用户的隐私信息。随着网页木马破坏性的增大，人们对网页木马的重视程度也在逐渐增加。 1网页木马简介 1.1网页木马的定义网页木马是在宏病毒、木马等恶意代码基础上发展出来的一种新形态的恶意代码.类似于宏病毒通过Word 等文档中的恶意宏命令实现攻击.网页木马一般通过HTML 页面中的一段恶意脚本达到在客户端下载、执行恶意可执行文件的目的,而整个攻击流程是一个“特洛伊木马式”的隐蔽的、用户无察觉的过程,因此,国内研究者通常称该种攻击方式为“网页木马”. 目前,学术界对网页木马尚无一个明确的、统一的定义.Wiki 将它定义为一种用户不知情的下载,发生的场景可以是用户阅览邮件、访问网站页面以及点击一个欺诈性的弹出框时,等等,该定义属于字面解释,包括的内容比较宽泛,如利用社会工程学手段欺骗用户下载也属于其涵盖范围.此外,Wiki 还用Drive-by-Install 这一术语来表示下载并安装恶意程序的过程;Google 的Provos 等人将网页木马限定为客户端在访问页面时受到攻击并导致恶意可执行文件的自动下载、执行,该定义指出了“访问页面时受到攻击”和“自动下载、自动执行恶意可执行文件”两个关键点;UCSB 的Cova 等人进一步指出,网页木马是以一段JavaScript 代码作为攻击向量的一种客户端攻击方式,而实际上,还存在一些通过CSS 元素、VBScript 脚本发起攻击的网页木马。综上所述,网页木马定义为:一种以JavaScript,VBScript,CSS 等页面元素作为攻击向量,利用浏览器及插件中的漏洞,在客户端隐蔽地下载并执行恶意程序的基于Web 的客户端攻击。 1.2网页木马的攻击流程网页木马采用一种被动攻击模式(即pull-based 模式):攻击者针对浏览器及插件的某个特定漏洞构造、部署好攻击页面之后,并不像发送垃圾邮件那样主动将内容推送给受害用户(即push-based 模式),而是被动地等待客户端发起的页面访问请求.其典型攻击流程如图 1 所示:1. 客户端访问攻击页面;2. 服务器做出响应,将页面内容返回给客户端;3. 页面被浏览器加载、渲染,页面中包含的攻击向量在浏览器中被执行并尝试进行漏洞利用;4,5. 存在该漏洞的客户端被攻破,进而下载、安装、执行恶意程序。

2018年自考考试《软件开发工具》试题及答案

2018年自考考试《软件开发工具》试题及答案 1.为了推广应用计算机，大量的工作集中在( B )中。 A.硬件领域 B.软件领域 C.研制软件开发工具 D.研究改进程序设计方法 2.从( C )语言开始，软件摆脱了对特定硬件系统的依赖。 A.第一代 B.第二代 C.第三代 D.第四代 3.软件开发工具是以( C )语言为基础的。 A.第一代8.第二代C.第三代D.第四代 4对用户的需求进行分析，最终以编程所需的方式表达出来，这是(D. )必须承担的任务。 A.用户部门的技术人员B企业管理人员C、教学工作者D.软件开发者 5.软件开发的成败更多地依赖于( D ) A.程序员的编程能力B项目负责人的技术水平 C软件开发工具的使用D合理的组织和协调 6.软件开发的第一阶段是：( A ) A.需求分析B画出程序流程图c.选择所用的语自D.编写程序 7.需求分析阶段的主要任务是(A )。 A.提出初始要求，写出功能说明书 B 对计算机需求的分析 C.对语言需求的分桥D 对软件开发工具的需求分析 8.编写软件使用说明书与编程工作应( C )。 A先编写程序B.先编写使用说明节

C.同步编写D。可不计次序 9.认识与描述客观系统是软件开发工具对软件开发( B )阶段的支持、 A.需求分析 B.总体设计c.实现D.运行维护 10.在存储和管理开发过程中的信息时.最重要、最困难的问题是：( D )。 A.信息的收集 B.信息的分类 C.信息存储的格式 D.信息的一致性 E.信息的维护 t1.软件使用的方便程度主要依赖于( D ) A.软件的功能 B.操作系统C I/O设备D 人机界面 12.编写与调试软件的工具属于( C )。 A.计划工具 B.分析工具 C.设计工具D管理工具 13.帮助人们绘制数据流程图、结构图、ER团的工具属于( B ) A计划工具B.分析工具C.设计工具D管理工具 14.(B )工具从更宏观的角度去看待软件开发。 A计划B.分析C设计D 调试运行 15.帮助管理项目的进度、资源、质量等的软件开发工具属于( D) A.计划上具 B.分析工具 C.设计工具D管理工具 16.( D )实现了跨生命周期的信息管理与共享。 A.计划工具 B.分桥工具 C.设计工具D管理工具多项选择题 1.(AB)语言依赖于机器

安全生产知识考试试题以及答案

安全生产知识考试试题以及答案 1、2016年全国“安全生产月”活动的主题是：_强化安全基础推动安全发展__。 2、安全生产工作“四到位”是指：思想、组织、职责、工作。 3、电气安全包括人身安全和设备安全。 5、电气设备金属外壳必须有可靠的接地或接零。 6、《劳动法》第56条规定：劳动者在劳动过程中必须严格遵守安全操作规程。 7、“三违”是指：违章指挥、违反操作规程、违反劳动纪律。 8、对安全生产事故隐瞒不报、谎报或者拖延不报是一种用职权玩忽职守罪行为。 12、安全帽有哪六种基本性：抗冲击性能、耐穿透性能、耐低温性能、耐燃烧性能、电绝缘性能、侧向钢性。 14、保护人身安全的最后一道防线是个体防护 1、我国每年开展的“安全生产月”活动是从(C)开始的? A.1989年 B.1992年 C.1991年 D.1990年 2、高空作业的安全措施中，首先需要(C)。 A.安全带 B.安全网 C.合格的工作台 D.安全监察人员 3、高处作业的施工人员，应(C)。 A、佩戴安全带和安全帽 B、佩戴安全带和安全帽，穿防滑鞋 C、佩戴安全带和安全帽，穿防滑鞋和紧口工作服。 4、使用灭火器扑救火灾时要对准火焰(C)喷射。

A、上部 B、中部 C、根部 5、对总承包的施工项目，分包单位不服从管理，导致生产安全事故的，由(B)单位承担主要责任。 A.总包 B.分包 C.监理 A、从业人员 B、安全管理人员 C、特种作业人 7、生产经营单位新建、改建、扩建工程项目的安全设施，必须与(A)同时设计、同时施工、同时投入生产和使用。 A、全部工程 B、辅助工程 C、主体工程 8、使用消防灭火器灭火时，人的站立位置应是(A)。 A.上风口 B.下风口 C.侧风方向 D.看情况而定 A.一级 B.二级 C.三级 D.四级 10、高空作业的下列几项安全措施中，哪一项是首先需要的?(C) A.安全带 B.安全网 C.合格的工作平台 11、安全色中红色表示(B) A.禁止 B.警告 C.提示 12、脚手板铺设必须双拼，两端伸出支撑点不得少于(A) A.0.3米 B.0.5米 C.1米 13、未熄灭的烟头最高温度可达：(C) A、100多度 B、900多度 C、850度 D、950度 14、根据国家规定，凡在坠落高度离基准面(A)以上有可能坠落的高处进行的作业，均称为高处作业。 A.2m B.3m C.4m 15、、《安全生产法》规定,特种作业人员必须经专门的安全作业培训。取得特种作业(A)证书,方可上岗作业。

软件源代码安全测试系统可行性分析报告

软件源代码安全测试系统可行性分析研究报告

年月

目录一、项目的背景和必要性1 二、国内外现状和需求分析2 2.1国内外发展现状2 2.2 需求分析2 三、项目实施内容及方案3 3.1 总体思路3 3.2 建设内容4 3.3 项目实施的组织管理5 3.4 项目实施进度计划6 四、实施项目所需条件及解决措施8 4.1 条件需要论述8 4.2 承担单位具备的条件及欠缺条件解决措施8 五、投资估算，资金筹措11 5.1 项目投资估算11 5.2 资金筹措11 六、经济、社会效益及学术价值分析11 七、项目风险性及不确定性分析12 7.1 不确定性分析12 7.2市场风险分析12 7.3 技术风险分析12 八、项目主要承担人员概况13

8.1 项目负责人情况13 8.2 主要承担人员及责任分工13

一、项目的背景和必要性随着社会信息化的不断加深，计算机软件系统越来越复杂，程序的正确性也难以保证，计算机病毒和各种恶意程序有了赖以生存的环境。软件功能越来越负载，源代码越来越大，我们无法从编码的角度彻底消除所有的漏洞或缺陷，相当数量的安全问题是由于软件自身的安全漏洞引起的。软件开发过程中引入的大量缺陷，是产生软件漏洞的重要原因之一。不同的软件缺陷会产生不同的后果，必须区别对待各类缺陷，分析原因，研究其危害程度，预防方法等。我区的软件业发展尚未成熟，软件测试没有得到足够的重视，大多数软件开发商更多注重的是软件的功能，对于加强软件的安全性投入不足，这更增加了软件安全漏洞存在的可能性。系统攻击者可以解除软件安全漏洞轻易的绕过软件安全认证，对信息系统实施攻击和入侵，获取非法的系统用户权限，执行一系列非法操作和恶意攻击。为了避免各种安全漏洞的出现，软件测试越来越受到开发人员的重视。软件测试不仅仅是为了找出软件潜在的安全漏洞，通过分析安全漏洞产生的原因，可以帮助我们发现当前软件开发过程中的缺陷，以便及时修复。软件测试可以提高源代码的质量，保证软件的安全性。但是，软件测试是一个非常复杂的执行过程。测试人员需要根据已有的经验，不断的输入各种测试用例以测试。纯人工测试效率低，无法满足信息产业发展的需要。我们需要高效的自动化测试源代码安全测试系统。

软件开发工具与试题答案最新

系部专业班级姓名学号第 1错误！未找到引用源。错误！未找到引用源。页共错误！未找到引用源。 10 页第 2错误！未找到引用源。错误！未找到引用源。页共 10 页装线订考试方式：闭卷考试时间：50分钟卷面总分：150 分一选择题 (每小题2分，共40分) 1．高级程序设计语言实现了 A ．计算机系统的各种资源自动管理 B.计算机语言对机器的独立性 C ．由机器自己去安排执行的顺序 D.用自然语言描述人们设想的处理过程 2．软件工具的思想与方法得到了广泛的宣传是在20世纪的 A.50年代 B.60年代 C ．70年代 D.80年代 3．在软件开发过程中，直接与变更要求关联的界面是 A ．分析界面 B.编程界面 C ．用户界面 D.管理界面 4．在软件开发过程中，确定子系统或模块划分的阶段是 A ．需求分析阶段 B.分析设计阶段 C ．程序编码阶段 D.系统维护阶段 5．软件开发工具的基础是 A ．数据库 B.工具软件 C ．信息库 D.文档 6．购买市场上已有的软件开发工具的优点是 A ．减轻工作负担 B.比较便宜 C ．发展水平较高 D.可靠程度较高 7．以下几种较有代表性的语言及其开发工具中支持面向对象非常好的是 A ．VC B.PB C.C++Builder/Delphi D.JAVA 8．不属于．．．软件开发工具概念模式的是 A ．数据流程图 B.实体关系图 C ．关键路线图 D.数据字典 9．以下几种较有代表性的语言及其开发工具中发展潜力最差的是 A ．VC B.VB C ．PB D.JAVA 10．用来打开网页文件的编辑器是 A.C/C++编辑器 B.文本编辑器 C ．任务编辑器 D.Web 浏览器 11．出现最早的软件开发工具是 A ．计划工具 B.分析工具 C ．设计工具 D.集成化工具 12．一个好的项目组应当具备的条件是 A ．有事先制定详细的时间表，并且得到严格执行 B.成员有程序设计所需要的基本知识与技能 C ．成员深入了解本项目所在的领域 D.成员熟悉软件开发的技术环境 13．在Eclipse 设置调试属性时，应选择Preferences 菜单中的选项是 A.General B.Install/Update C.Tasks D.Run/Debug 14．不属于．．．Eclipse 调试透视图的是 A ．触发器 B.变量视图 C ．编辑器 D.大纲视图 15．在Eclipse 代码模板编辑中，变量的开头字符和括起来的符号分别是 A.$和[ ] B.&和{ } C ．￥和( ) D.$和{ } 16．在版本控制软件中，对程序冻结和解冻的操作人员只能是 A ．程序员 B.程序员和管理员 C ．管理员 D.用户 17．在Eclipse 的插件清单中，提供插件id 的标签是 A.plugin B.runtime C.requires D.extensions 18．在Eclipse 插件中，属于代码管理类插件是 A ．CDT B.Lomboz C.PDT D.Log4E 19．在Rational Rose 建模的逻辑设计中，使用的图是 A ．活动图 B.状态图 C ．交互图 D.关联图 20．在Rational Rose 建模的设计中，系统中与实现无关的视图是 A ．用例图 B.活动图 C ．顺序图 D.协作图题号一二三四五总成绩合分人得分得分评阅人软件开发工具考试试题课程代码：03173

安全知识测试题及答案

徽县实验小学安全知识测试题一、单选题（下列选择题只有一个答案是正确的，请把正确的答案填在括号内） 1 、红灯亮时表示（） A 、有危险，不准通过 B 、注意观望，确认安全后通过 C 、很安全，可以通过 2 、交通信号灯红、绿、黄三色分别代表什么意义？（） A 、红灯行，绿灯停，黄灯等一等 B 、绿灯行，红灯停，黄灯等一等 C 、黄灯行，绿灯停，红灯等一等 3 、在街道或公路行走，须有成年人带领是哪些人？（） A 、学龄前儿童 B 、小学低年级学生 C 、小学在读生 4、乘坐公共汽车时，下面哪些行为是错误的？（） A、坐在座位上看图画书 B、上车后坐稳，扶好 C、注意自己带的包，谨防小偷、扒手 5、当你走到马路中间的时候，有一辆车开了过来，你应该怎么做更安全？（）Ａ．赶紧往回跑Ｂ．赶紧冲过马路Ｃ．站在马路中间的横线上让车辆通过 6、行人在没有人行道的道路上行走，应当靠（）行走。

A、左边 B、右边 C、中间 7、在路上，很多小学生都带着黄颜色的帽子，这样做的原因是什么？（） A、黄色的帽子好看 B、是校服、必须戴 C、醒目 8、急救、交通事故报警电话依次是________。（） A．122、120 B．122、121 C．120、122 9、小明每天上学都要通过一个铁路道口，你觉得他怎样做最安全？( ) Ａ．直接从铁路上穿过去Ｂ．看看左右没火车就快速走过去Ｃ．在准许通过的信号灯亮时再通过 10、７岁的小丽在大街上和爸爸妈妈走散了，你觉得下面哪种做法可能非常危险？（）Ａ、找马路上的警察叔叔帮忙Ｂ、在原地等待Ｃ、跟一个自称认识她妈妈的阿姨，一起去找父母 11、在预防饮食安全方面做的不妥当（）Ａ、购买包装食品时，要查看有无生产日期、保质期、生产单位Ｂ、餐具要卫生，要有自己的专用餐具Ｃ、在外就餐时，选择较为便宜的无证、无照路边餐 12、安安游泳时，肌肉抽筋了，他采取的自救办法不恰当的是（）Ａ、头后仰Ｂ、尽量使口、鼻露出水面Ｃ、使劲挣扎 13、保护溺水者不恰当的办法是（）Ａ、携带救生圈、木板等漂浮物去救人

WEB安全测试要考虑的10个测试点

WEB安全测试要考虑的10个测试点本文主要论述了WEB安全测试要考虑的10个测试点： 1、问题：没有被验证的输入测试方法：数据类型（字符串，整型，实数，等）允许的字符集最小和最大的长度是否允许空输入参数是否是必须的重复是否允许数值范围特定的值（枚举型）特定的模式（正则表达式） 2、问题：有问题的访问控制测试方法：主要用于需要验证用户身份以及权限的页面，复制该页面的url地址，关闭该页面以后，查看是否可以直接进入该复制好的地址例：从一个页面链到另一个页面的间隙可以看到URL地址直接输入该地址，可以看到自己没有权限的页面信息， 3、错误的认证和会话管理例：对Grid、Label、Tree view类的输入框未作验证，输入的内容会按照html语法解析出来 4、缓冲区溢出没有加密关键数据例：view－source：http地址可以查看源代码在页面输入密码，页面显示的是*****, 右键，查看源文件就可以看见刚才输入的密码。 5、拒绝服务

分析：攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序，最终使程序陷入瘫痪。需要做负载均衡来对付。 6、不安全的配置管理分析：Config中的链接字符串以及用户信息，邮件，数据存储信息都需要加以保护程序员应该作的：配置所有的安全机制，关掉所有不使用的服务，设置角色权限帐号，使用日志和警报。分析：用户使用缓冲区溢出来破坏web应用程序的栈，通过发送特别编写的代码到web程序中，攻击者可以让web应用程序来执行任意代码。 7、注入式漏洞例：一个验证用户登陆的页面，如果使用的sql语句为： Select * from table A where username＝’’ + username+’’ and pass word ….. Sql 输入‘ or 1＝1 ―― 就可以不输入任何password进行攻击或者是半角状态下的用户名与密码均为：‘or’‘=’ 8、不恰当的异常处理分析：程序在抛出异常的时候给出了比较详细的内部错误信息，暴露了不应该显示的执行细节，网站存在潜在漏洞， 9、不安全的存储分析：帐号列表：系统不应该允许用户浏览到网站所有的帐号，如果必须要一个用户列表，推荐使用某种形式的假名（屏幕名）来指向实际的帐号。浏览器缓存：认证和会话数据不应该作为GET的一部分来发送，应该使用POST， 10、问题：跨站脚本（XSS）分析：攻击者使用跨站脚本来发送恶意代码给没有发觉的用户，窃取他机器上的任意资料测试方法： ● HTML标签：<…>… ● 转义字符：&(&)；<(<)；>(>)；(空格) ； ● 脚本语言：

Web应用安全测试方案

1 Web 安全测试技术方案 1.1测试的目标更好的发现当前系统存在的可能的安全隐患，避免发生危害性的安全事件更好的为今后系统建设提供指导和有价值的意见及建议 1.2测试的范围本期测试服务范围包含如下各个系统： Web 系统： 1.3测试的内容 1.3.1WEB 应用针对网站及WEB 系统的安全测试，我们将进行以下方面的测试： Web 服务器安全漏洞 Web 服务器错误配置 SQL 注入 RSS （跨站脚本） CRLF 注入目录遍历文件包含输入验证认证逻辑错误 GoogleHacAing 密码保护区域猜测字典攻击特定的错误页面检测脆弱权限的目录危险的HTTP

方法（如：PUT、DELETE） 1.4测试的流程方案制定部分：获取到客户的书面授权许可后，才进行安全测试的实施。并且将实施范围、方法、时间、人员等具体的方案与客户进行交流，并得到客户的认同。在测试实施之前，让客户对安全测试过程和风险知晓，使随后的正式测试流程都在客户的控制下。信息收集部分：这包括：操作系统类型指纹收集；网络拓扑结构分析；端口扫描和目标系统提供的服务识别等。采用商业和开源的检测工具（AWVS 、burpsuite 、Nmap 等）进行收集。测试实施部分：在规避防火墙、入侵检测、防毒软件等安全产品监控的条件下进行：操作系统可检测到的漏洞测试、应用系统检测到的漏洞测试（如：Web 应用），此阶段如果成功的话，可能获得普通权限。安全测试人员可能用到的测试手段有：扫描分析、溢出测试、口令爆破、社会工程学、客户端攻击、中间人攻击等，用于测试人员顺利完成工程。在获取到普通权限后，尝试由普

自考03173软件开发工具10月试题及答案word版本

自考软件开发工具（2014.10）真题及答案一单选 1.Dictionary／3000是（） A.计划工具 B.分析工具 C.设计工具 D.集成化工具正确答案 B 讲解分析工具主要指用于分析的工具。例如：帮助人们编辑数据字典的、专用数据字典管理系统。 2.提出即插即用程序设计的基础是（） A.结构化程序设计 B.面向对象程序设计 C.面向开源软件程序设计 D.C语言程序设计正确答案 B 讲解即插即用的程序设计是近年来软件界讨论的又一个热门话题，与它紧密相关的还有组件程序设计(component Programming)，组合文件(Compound Document)，宏观程序设计等。这是在面向对象的程序设计方法的基础上提出来的。 3.在大型软件开发中，项目负责人承担的工作是（） A.验收模块 B.要求修改 C.交付检验 D.试运行正确答案 A 讲解分配子任务下次，最后检验各个模块完成。 4.一般认为，好的软件应该（） A.速度快

B.正确实现要求的功能 C.程序简短 D.价格低廉正确答案 B 讲解软件的质量评价在于： 1)正确地实现所要求的功能，准确地给出预定的输出结果； 2)用户界面友好，符合实际用户的使用习惯与知识能力； 3)具有足够的速度(而不是越快越好)，能在符合用户要求的时间限度内，给出所要求的处理结果； 4)具有足够的可靠性，能够在各种干扰下保持正常的工作； 5)程序易读。 5.在软件开发工具的概念模式中，着重描述模块间控制的是（） A.实体联系图 B.结构图 C.系统流程图 D.数据流程图正确答案 B 讲解程序的结构分解成三种基本模块：处理单元，循环机制，二分决策机制。按照这种方法来构造程序，就可以把程序内容的各种相互影响有效地控制在模块内部，从而避免“水波效应”。这样一来，问题的关键就在于合理地划分模块，并保证模块符合“结构良好”的要求。 6.软件开发工具最重要的信息出口是（） A.代码生成和图形处理 B.文档生成和报表生成 C.代码生成和联机查询 D.代码生成和文档生成正确答案 D 讲解只要人们规定了合理的存储模式和检索途径，就能在信息存储、检索以至一致性的保持上得到很大的帮助。至于像代码与文档的自动生成则可以在更大的程度上给人们帮助。