软件测试之App测试点-基础安全测试

1.软件权限

1）扣费风险：包括发送短信、拨打电话、连接网络等2）隐私泄露风险：包括访问手机信息、访问联系人信息等3）对App的输入有效性校验、认证、授权、敏感数据存储、数据加密等方面进行检测4）限制/允许使用手机功能接入互联网5）限制/允许使用手机发送接受信息功能6）限制/允许应用程序来注册自动启动应用程序7）限制或使用本地连接8）限制/允许使用手机拍照或录音9）限制/允许使用手机读取用户数据10) 限制/允许使用手机写入用户数据11) 检测App的用户授权级别、数据泄漏、非法授权访问等

2.安装和卸载的安全性

1）应用程序应能正确安装到设备驱动程序上2）能够在安装设备驱动程序上找到应用程序的相应图标3）是否包含数字签名信息4）JAD文件和JAR包中包含的所有托管属性及其值必需是正确的5）JAD文件显示的资料内容与应用程序显示的资料内容应一致6）安装路径应能指定7）没有用户的允许, 应用程序不能预先设定自动启动8）卸载是否安全, 其安装进去的文件是否全部卸载9）卸载用户使用过程中产生的文件是否有提示10）其修改的配置信息是否复原11）卸载是否影响其他软件的功能12）卸载应该移除所有的文件

3.数据安全性

1）当将密码或其他的敏感数据输人到应用程序时,其不会被储存在设备中, 同时密码也不会被解码2）输人的密码将不以明文形式进行显示3）密码, 信用卡明细, 或其他的敏感数据将不被储存在它们预输人的位置上4）不同的应用程序的个人身份证或密码长度必需至少在6-12个数字长度之间5）当应用程序处理信用卡明细, 或其他的敏感数据时, 不以明文形式将数据写到其它单独的文件或者临时文件中。6）防止应用程序异常终止而又没有删除它的临时文件, 文件可能遭受入侵者的袭击, 然后读取这些数据信息。7）当将敏感数据输人到应用程序时, 其不会被储存在设备中8）备份应该加密, 恢复数据应考虑恢复过程的异常、通讯中断等, 数据恢复后再使用前应该经过校验9）应用程序应考虑系统或者虚拟机器产生的用户提示信息或安全警告10）应用程序不能忽略系统或者虚拟机器产生的用户提示信息或安全警告, 更不能在安全警告显示前,利用显示误导信息欺骗用户，应用程序不应该模拟进行安全警告误导用户11）在数据删除之前，应用程序应当通知用户或者应用程序提供一个“取消”命令的操作12）“取消”命令操作能够按照设计要求实现其功能13）应用程序应当能够处理当不允许应用软件连接到个人信息管理的情况14）当进行读或写用户信息操作时, 应用程序将会向用户发送一个操作错误的提示信息15）在没有用户明确许可的前提下不损坏删除个人信息管理应用程序中的任何内容Μ16）应用程序读和写数据正确。17）应用程序应当有异常保护。18）如果数据库中重要的数据正要被重写, 应及时告知用户19）能合理地处理出现的错误20）意外情况下应提示用户

4.通讯安全

1）在运行其软件过程中, 如果有来电、SMS、EMS、MMS、蓝牙、红外等通讯或充电时,是否能暂停程序，优先处理通信, 并在处理完毕后能正常恢复软件, 继续其原来的功能2）当创立连接时, 应用程序能够处理因为网络连接中断, 进而告诉用户连接中断的情况3）应能处理通讯延时或中断4）应用程序将保持工作到通讯超时, 进而发送给用户一个错误信息指示有连接错误5）应能处理网络异常和及时将异常情况通报用户6）应用程序关闭或网络连接不再使用时应及时关闭) 断开7)HTTP、HTTPS覆盖测试8)App和后台服务一般都是通过HTTP来交互的，验证HTTP环境下是否正常；9)公共免费网络环境中（如：麦当劳、星巴克等）都要输入用户名和密码，通过SSL认证来访问网络，需要对使用HTTP Client的library异常作捕获处理。

5.人机接口安全性

1）返回菜单总保持可用2）命令有优先权顺序3）声音的设置不影响应用程序的功能4）应用程序必需利用目标设备适用的全屏尺寸来显示上述内容5）应用程序必需能够处理不可预知的用户操作,例如错误的操作和同时按下多个键