❶ 应用安全测试中“剩余信息保护”和“抗抵赖”如何测试，最好有详细的测试方法，谢谢！
信息技术的应用和管理
随着互联网的发展，电子商务已经逐渐成为一种新的模式，为人们进行商务活动。相对于传统的商业模式，电子商务具有方便，高效的功能和优点。全球贸易额通过电子商务渠道在同期世界贸易的一小部分。究其原因，电子商务是一项复杂的系统工程，它的实施还取决于许多的社会问题，解决技术问题，一步一步的改善。在电子商务的安全性是制约其发展的电子商务的核心和关键问题，电子商务的安全技术也成为公众关注和研究的重点。
电子商务的安全问题
确保交易数据的安全性是电子商务系统的关键。由于互联网本身的开放性，电子商务系统正面临着各种安全威胁。电子商务的主要的安全隐患存在以下几个方面：
（1）冒充合法用户的身份。合法用户的身份信息窃取攻击者通过非法手段，假冒合法用户的身份与他人交易，获得非法利益。
（2）窃取信息。攻击者在网络中的传输信道，通过物理的或逻辑的数据非法拦截和聆听，由此得到的敏感信息的通信。
（3）信息被篡改。攻击者可以篡改的内容在网络上截获的信息，如改变的消息顺序的时间，注入伪造消息等，因此，损失的真实性和完整性。
（4）拒绝服务攻击。攻击者阻碍合法访问信息，商务或其他资源，例如，一个业务口滥用使其他用户无法正常使用。
（5）拒绝在这个问题上的信息。有些用户可能是恶意的拒绝发给推卸自己的责任。
（6）非法入侵和病毒的攻击。计算机网络往往会遭受非法入侵攻击和计算机病毒的破坏。
电子商务的一个重要技术特征是利用计算机技术来传输和处理商业信息。因此，电子商务的安全性总体上可分为两个主要部分组成的计算机网络安全和商务交易的安全性。
计算机网络安全计算机网络安全的措施，包括安全的计算机网络设备，计算机网络系统安全，数据库安全的内容。计算机网络安全方面的问题存在，实施网络安全增强方案，以确保计算机网络的安全性为目标的特点。
主要的计算机网络安全防护措施包括三个方面的保护网络安全保护应用服务安全和保护系统的每一个环节的安全考虑安全，物理安全，防火墙，信息安全，网络安全，媒体安全性。
（a）保护网络安全。网络安全业务各方之间的网络终端系统是保障安全的通信过程。确保保密性，完整性，身份验证和访问控制网络安全的重要因素。保护网络安全的措施如下：
（1）全面规划网络平台的安全策略。
（2）网络安全管理措施的发展。
（3）使用防火墙。
（4）记录在网络上的所有活动的尽可能多。
（5）需要注意的是网络设备的物理保护的。
（6）测试的网络平台系统的脆弱性。
（7）建立一个可靠的识别和认证机制。
（b）保护应用程序的安全性。保护应用程序的安全性，安全防范措施，建立特定的应用程序（如Web服务器，网络支付专用软件系统），它是独立于任何其他网络安全防范措施。虽然一些保护措施可能的替代或重叠的网络安全业务，如Web浏览器和Web服务器在应用层的网络支付结算系统（RTGS），通过IP层加密数据包的加密，但是许多应用程序有自己特定的安全要求。
最严格的安全要求，电子商务的应用层，最复杂的，因此更倾向于采取了多种安全性措施在应用层，而不是网络层。
在网络层的安全性有其特定的地位，但它不能完全依靠它来解决电子商务应用的安全性。在应用层，安全认证，访问控制，机密性，数据完整性，不可抵赖性，网络安全，电子数据交换和互联网支付应用程序的安全服务。
（c）保护系统的安全性。保护系统安全的整体电子商务系统或网络支付系统和网络系统的硬件平台，操作系统，应用软件相互关联的，安全的角度出发。网络支付和结算系统的安全性，包括以下措施：
（1）安装的软件，如浏览器软件，电子钱包软件，支付网关软件，检查和确认未知的安全漏洞。
（2）技术与管理有机结合，系统最小穿透风险。如通过多项认证，允许连接必须审核所有访问数据和严格的安全管理系统用户。
（3）建立详细的安全审计日志，以便检测并跟踪入侵攻击。
业务交易的安全性措施
业务交易的安全性，紧紧围绕传统的商业应用在互联网上的各种安全问题，计算机网络安全的基础上，如何保障电子商务过程的顺利。
各种商务交易安全服务实现的安全技术，包括加密技术，认证技术和电子商务安全协议。
（一）加密技术。加密技术是电子商务的一个基本的安全所采取的措施中，交易双方可能需要在信息交换的阶段。加密技术分为两类，即对称加密，非对称加密。
（1）对称加密。对称加密，也称为私钥加密，发送者和接收者，使用相同的密钥来加密和解密数据的信息。其最大的优势是加/解密速度快，适合对大量的数据进行加密，但密钥管理困难。通信双方的专用密钥在密钥交换阶段，以确保不被泄露，保密性和完整性的消息可以加密，这种加密方式保密信息一起发送的消息或消息散列消息摘要值实现的。
（2）非对称加密。也被称为公共密钥加密，非对称加密，使用一对密钥完成加密和解密操作，这是一个公开可用的（公开密钥），而另一个是保密的由用户（即，私有密钥）??。信息交换过程：甲方生成一对密钥和公钥对其他对手开放，使用的密钥来加密的信息发送前乙方向甲方党的公钥，然后A自己的私钥加密信息存储在进行解密。
（二）认证技术。认证技术是使用电子方式确认的身份信息传送或存储过程中没有被篡改发件人和收件人身份和文件完整性的证明。
（1）数字签名。也被称为电子签名，手写签名，数字签名，可以发挥电子文件的认证，批准和加入力的作用。它的实施是散列函数和公开密钥算法相结合的文本消息，发送者生成一个散列值，并用自己的私钥加密哈希值，形成发送方的数字签名，然后，数字签名的附件和数据包作为数据包一起发送的数据包的接收器;接收侧，以计算出的散列值从原始数据包的数据包接收的第一，然后使用发送方的公共密钥的数字签名的关键附加的数据包是解密，如果这两个散列值？是相同的，那么接收方将能够以验证该数字签名是发送侧。数字签名机制提供的鉴别方法，以解决问题的伪造抵赖，冒充篡改。
（2）数字证书。数字证书是一个文件包含的信息以及的公共键的公共键拥有数字证书的证书颁发机构签署的人物大部分是由用户的公钥，加上了用户身份的关键标识符的所有者和信任的第三方党的签名第三方一般用户信任的证书颁发机构（CA），如政府部门和金融机构。提交他的公钥的公钥证书的权威，以安全的方式，并拿到证书，然后用户就可以打开证书。需要用户的公共密钥可以得到这个证书，和信任签名的公共密钥的有效性进行验证。通过一系列的迹象显示，双方的交易识别信息数据的数字证书，并提供了一??种方法来验证自己的身份，用户可以用它来识别对方的身份。
（三）电子商务协议的安全性。除了上面提到的各种安全技术，电子商务的运作，是一套完整的安全协议。目前，比较成熟的协议，如SET，SSL。
（1）安全套接层协议SSL。 SSL协议在传输层和应用层，SSL记录协议，SSL握手协议和SSL警报协议。 SSL握手协议用来在客户端和服务器的实际传输应用层数据之前创建一个安全机制。当第一个客户端和服务器通信时，双方通过握手协议版本号，密钥交换算法，数据加密算法和Hash算法达成一致，然后互相验证身份的其他，最后使用协商密钥交换算法产生一个只有双方知道的秘密信息，客户端和服务器端数据加密算法和哈希算法参数，根据这个秘密信息。 SSL记录协议SSL握手协议协商参数的基础上，发送的数据由应用层加密，压缩，计算消息认证码MAC，然后将其发送到其他网络传输层。通过客户端和服务器之间的SSL警告协议SSL错误消息。
（2）安全电子交易SET。 SET协议，用于划分和界定消费者电子商务活动中的权利和义务之间的关系网上商户，无论是银行，信用卡组织，交易信息的传输过程标准。 SET主要由三个文件，SET业务描述，SET程序员指南和SET协议描述。 SET协议，以确保保密性，数据完整性，身份的合法性的电子商务系统。
SET协议专为电子商务系统。它位于应用层，认证体系是完美的，可以实现多方认证。执行设置的商家，消费者账户信息是保密的。 SET协议是非常复杂的交易数据，以验证使用多个键和多个加密和解密。 SET协议，除了为消费者和企业，以及发卡银行，收单银行，认证，支付网关和其他参与者。
四，结束语
计算机网络安全和商务交易的安全性是密不可分的，两者相辅相成，缺一不可。计算机网络安全的商业交易为基础的安全是不可能的。如果没有安全的商业交易，即使计算机网络本身再安全，仍然无法达到特定的电子商务的安全性要求。
随着电子商务的发展，电子交易手段更多样化的安全问题将变得更加重要和突出。电子商务对计算机网络安全和业务安全的双重要求，使电子商务的安全性高于大多数计算机网络的复杂程度，应作为系统工程，而不是解决方案来实现电子商务的安全性。
❷ 密码技术应用专业学什么
密码技术应用专业学计算机组成原理、计算机网络技术、操作系统应用、程序设计基础、数据库应用、密码技术基础、信息安全标准与法规。
专业核心课程：信息安全技术与实施、商用密码产品部署、公钥基础设施应用、电子商务安全应用、密码应用安全测评、信息安全工程与管理。
具备依据国家密码相关标准与法规，开展信息系统密码应用安全性评估工作的能力；
具备应急处置密码应用安全突发事件的能力；
具备开展密码应用技术咨询、密码科普等相关服务的能力；
具备信息技术和数字技术的应用能力；
具有探究学习、终身学习和可持续发展的能力。
❸ 如何进行WEB安全性测试
安全性测试
产品满足需求提及的安全能力
n 应用程序级别的安全性，包括对数据或业务功能的访问，应
用程序级别的安全性可确保：在预期的安全性情况下，主角
只能访问特定的功能或用例，或者只能访问有限的数据。例
如，可能会允许所有人输入数据，创建新账户，但只有管理
员才能删除这些数据或账户。如果具有数据级别的安全性，
测试就可确保“用户类型一” 能够看到所有客户消息（包括
财务数据），而“用户二”只能看见同一客户的统计数据。
n 系统级别的安全性，包括对系统的登录或远程访问。
系统级别的安全性可确保只有具备系统访问权限的用户才能
访问应用程序，而且只能通过相应的网关来访问。
安全性测试应用
防SQL漏洞扫描
– Appscan
n防XSS、防钓鱼
– RatProxy、Taint、Netsparker
nget、post -> 防止关键信息显式提交
– get：显式提交
– post：隐式提交
ncookie、session
– Cookie欺骗
❹ Web应用的测试内容都包括哪些方面
1、通用指标
指Web应用服务器、数据库服务器必需测试项，包括：处理器时间：指服务器CPU占用率，一般平均达到70%时，服务就接近饱和。可用内存数：如果测试时发现内存有变化情况也要注意，如果是内存泄露则比较严重。物理磁盘读写时间。
2、Web服务器指标
平均每秒响应次数为总请求时间与秒数之比。平均每秒业务脚本的迭代次数。成功的请求和失败的请求。成功的点击次数和失败的点击次数。每秒点击次数、每秒成功的点击次数和每秒失败的点击次数。尝试连接数。
3、数据库服务器指标
用户连接数，也就是数据库的连接数量。数据库死锁量。数据库缓存的命中情况。
(4)应用和数据库安全测评扩展阅读
对被测的Web应用程序进行需求分析，即对所做的测试作一个简要的介绍，包括描述测试的目标和范围，所测试的目标要实现一个什么样的功能，总结基本文档、主要活动。
写出测试策略和方法，这里包括测试开始的条件、测试的类型、测试开始的标准以及所测试的功能、测试通过或失败的标准、结束测试的条件、测试过程中遇到什么样的情况终止和怎么处理后恢复等。
一个Web应用程序由完成特定任务的各种Web组件（web components)构成的并通过Web将服务展示给外界。在实际应用中，Web应用程序由多个Servlet、JSP页面、HTML文件以及图像文件等组成。所有这些组件相互协调为用户提供一组完整的服务。