标准规范下载简介
JR／T 0191-2020 证券期货业软件测试指南 软件安全测试检测内容包括： a）服务端能够对口令复杂度进行安全检测并提示； b 密码输入框不以明文形式显示密码； 服务端对用户登录错误次数进行限制： d 服务端口令找回功能的密码找回凭证足够复杂、不可猜测并且不存在越权。 e）服务端对用户登录失败进行统一提示。
6. 2. 3 结果判定
6. 3. 1 测试目标
应用程序对用户权限进行了配置
JB／T 4207-2020 手动起重设备用吊钩及闭锁装置.pdf6. 3. 2测试内容
若该系统安全等级为等保三级及以上或系统设计文档中明确具有访问权限控制功能，检测内容包 服务端具备权限配置功能，且有权限判断机制； b 服务端对敏感数据进行访问权限控制； 服务端对每个请求URL进行鉴权，而非仅仅通过客户端的菜单屏蔽或者按钮不可用来限制； d）用户认证采用多因子认证方式，防止通过修改用户身份证明（UID）实现越权操作。
6. 3. 3结果判定
若完全符合6.3.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部 项测试需求。
6. 4. 1测试目标
检测内容包括： a） 已对会话信息进行安全加密； b）用户登录后，身份信息不再由客户端提交，而是以服务器端会话信息中保存的身份信息为准； c）应用程序提供注销登录功能，注销时，会话信息随之清除； d）每次登录成功后变更会话标识； e）对用户的操作进行token验证，防止跨站请求伪造（CSRF）的操作
6. 4. 3结果判定
若完全符合6.4.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符 预测试需求。
6. 5. 2测试内容
若该系统安全等级为等保三级及以上或系统设计文档中明确具有通信安全要求，检测内容包括： a）应用程序在进行通信时采用了安全通信协议，例如SSL/TLS、IPSec等； 6 应用程序在进行通信时对通信数据进行加密保护 应用程序在进行通信时对通信数据进行完整性校验； 应用程序对通信数字证书进行安全性校验
6. 5. 3 结果判定
若完全符合6.5.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合本 项测试需求。
6. 6. 1测试且标
页定的规则运行应用程序，保护业务系统免受业
检测内容包括： a）应用程序业务数据不可被篡改； 应用程序业务逻辑工作流不可被打破； 应用程序不允许用户上传业务逻辑允许以外的文件类型的文件； d）应用程序业务接口调用足够安全
JR/T 01912020
6. 7. 1 测试且标
应用程序的所有用户输入都应该经过验证，并且所有的输入都是合法的、期望的类型和方式。
6. 7.2 测试内容
若该系统安全等级为等保三级及以上或系统设计文档中明确具有输入数据安全要求，检测内容包 a 应用程序不存在SQL注入漏洞： b 应用程序不存在跨站脚本攻击（XSS）漏洞： C 应用程序不存在XXE漏洞； d 应用程序不存在命令执行漏洞； e 应用程序不存在文件包含漏洞； 应用程序不存在HTTP代码注入漏洞 名 应用程序具备特殊字符过滤机制。
6. 7. 3 结果判定
若完全符合6.7.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合本 项测试需求。
6. 8. 1测试目标
客户端程序对存储在客户端的敏感数据进行了加密保护。
6. 8. 2测试内容
检测内容包括： a）客户端对本地存储的数据进行加密保护（包括数字证书文件）； b）客户端对本地存储的数据进行完整性校验； c）客户端未在本地存储用户身份认证等敏感信息
6. 8. 3 结果判定
若完全符合6.8.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部 项测试需求。
6. 9. 1测试目标
馨在处理登录操作时不会针对认证错误的情况提
6. 9. 2测试内容
服务端对客户端错误请求引起的提示信息进行模糊处理。
若完全符合6.9.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合本 项测试需求。
6. 10日志数据安全
6. 10. 1测试目标
客户端程序中没有调用调试日志函数，不会暴露客户端代码逻辑信息。
客户端程序中没有调用调试日志函数，不会暴露客户端代码逻辑信息。
6. 10. 2测试内容
检测内容包括： a）客户端对日志数据进行加密保护； b）客户端不在本地存储与应用程序运行逻辑相关的日志数据与调试信息； 应用程序服务端信息只存放于服务器端日志中。
6. 11. 1测试且标
6. 11. 2测试内容
中使用加密算法时没有使用不安全的加密算法或
a）客户端采用国家管理部门认可的加解密算法，例如SM2、SM3、SM4算法等； b）客户端采用国家管理部门认可的加解密算法的安全加密模式。
6. 11. 3 结果判定
若完全符合6.11.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分 项测试需求。
6. 12. 2测试内容
检测内容包括： a）应用程序提供安全审计功能，对用户的注册、登录、关键业务操作等行为进行日志记录； ）应用程序对安全审计记录及审计策略设置必要的访问控制，禁止未授权的删除、修改或覆盖等
JR/T 01912020
若完全符合6.12.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合 本项测试需求。
6. 13. 1 测试目标
运行应用程序的服务器是安全的
6. 13. 2测试内容
检测内容包括： 服务器和中间件不存在已知的安全漏洞； b) 服务器和中间件不存在弱口令； c) 服务器未开启不必要的端口和服务； d 服务器未打开不必要的HTTP方法； 服务器和中间件满足权限和功能最小化原则 f 服务器已安装最新安全补丁； g 服务器和中间件已开启日志审计功能。
6. 13. 3结果判定
若完全符合6.13.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或 本项测试需求。
6. 14. 1测试且标
合法用户均能正常连接到服务器，不存在拒绝服
a）应用程序在面对极大量网络流量攻击请求时，不会因网络流量超大而无法提供服务； b）应用程序不会因为某个服务器资源耗尽而无法提供服务
6. 14. 3 结果判定
告完全符合6.14.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符 则试需求。
客户端代码不存在源代码被反编译而泄露的风险。
6. 15.2测试内容
a）客户端的源代码已通过防动态调试、代码混淆等处理，以防止反编译或逆向分析，确保程序逻 辑的机密性； b）客户端具备源代码完整性校验能力： c）客户端能够对签名信息进行安全校验
6. 15. 3 结果判定
6.16源代码数据安全
应用程序代码内部不包含残留测试信息，例如内网URL地址、测试账号等。
检测内容包括： a）应用程序源代码中无余代码或注释代码，比如开发人员信息、调试信息等； b）程序源代码不包含残留测试信息，例如内网URL地址等，
6. 16. 3 结果判定
若完全符合6.16.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分 项测试需求。
应用程序使用的框架安全，不存在已知的漏洞
6. 17.2测试内容
检测内容包括： a）应用程序使用的框架，如Spring、Hibernate、jQuery等，不存在已知的漏洞 b）应用程序使用的第三方组件，如FCKEditor编辑器等，不存在已知的漏洞
6. 17. 3结果判定
若完全符合6.17.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分 项测试需求。
7移动应用安全测试特定测试方法
JR/T 01912020
检测内容包括： a） 移动应用客户端能够对运行环境进行安全检测，例如限制移动应用在root或越狱等环境下使 用； b） 移动应用客户端具有版本检测机制，提供版本更新功能； 移动应用程序具有异常处理安全机制，确保客户端正常稳定运行。
7.1. 3 结果判定
若完全符合7.1.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合本 项测试需求。
7. 2. 1测试目标
移动应用程序的安装需得到明确授权，且安装过程中不应破坏移动终端环境。卸载时，应 其生成的数据和信息。
检测内容包括： a 移动应用程序安装时提示用户对其使用的终端资源（包含通信资源和外设接口）和终端数据进 行确认； b 移动应用程序安装和使用过程中的缓存数据能完全删除，且在删除用户使用过程中生成的数据 时进行提示； C 移动应用程序卸载后不应影响终端操作系统和其他应用软件的功能
7. 2. 3 结果判定
若完全符合7.2.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合本 项测试需求。
7. 3. 1测试且标
应用程序中的组件未开启导出权限，不存在导出
检测内容包括： 移动应用客户端对组件权限进行限制，避免第三方移动应用随意调用组件内容； 移动应用客户端对组件进行安全配置，避免发生劫持组件的安全问题； c） 移动应用客户端的webview组件不存在远程代码执行漏洞； d）移动应用客户端的Intent组件不存在隐式调用的风险
7.3. 3 结果判定
若完全符合7.3.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符合本 顶测试需求。
移动应用程序使用了合理的权限，且仅使用必需的最小权限。
7.4. 2 测试内容
检测内容包括： a）移动应用客户端已删除多余的权限配置，避免穴余权限的滥用； b）移动应用客户端具备对权限申请模块进行完整性校验的功能。
7. 4. 3结果判定
若完全符合7.4.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符 测试需求。
7.5. 2 测试内容
7. 5.3 结果判定
若完全符合7.5.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符 测试需求。
7. 6. 1测试目标
7. 6. 2测试内容
测试要求检测移动应用客户端的源代码、资源文件、配置文件等被篡改后，不可以重新打包并 行
7. 6. 3 结果判定
若完全符合7.6.2测试内容，则判定应用程序符合本项测试需求，否则判定其不符合或部分符 测试需求。
YD／T 3399-2018 电信互联网数据中心（IDC) 网络设备测试方法.pdfJR/T 01912020
A.1.软件安全测试方
图A.1软件安全测试方案模板
A.2.软件安全测试用例
A.3.软件安全测试报告
T／CBDA 27-2019 建筑装饰装修机电末端综合布置技术规程图A.2软件安全测试用例模板
图A.3软件安全测试报告模板