信息安全測評實驗三

1、西南科技大學計算機科學與技術學院實驗報告實 驗 名 稱 網(wǎng)站應用安全測評及加固 實 驗 地 點 實 驗 日 期 指 導 教 師 學 生 班 級 學 生 姓 名 學 生 學 號 提 交 日 期 2015年3月信息安全系制一、實驗目的通過對網(wǎng)站系統(tǒng)進行安全測評和安全加固，掌握應用安全測評方案的設計、安全測評實施及結果分析；掌握安全加固的方法。二、實驗題目根據(jù)信息系統(tǒng)安全等級保護基本要求的第三級基本要求，按照實驗指導書中的示范，對網(wǎng)站應用進行安全測評，安全等級為三級選用應用網(wǎng)站網(wǎng)址：5/index.html三、實驗設計應用安全涉及人類工作和生活的方方面面，為了考慮計算機

2、應用系統(tǒng)的安全，需要逐一分析各行各業(yè)的特點，可是這是難以做到的。因此，我們只能把握計算機應用系統(tǒng)的基礎，有什么樣的安全測評要求，以便在這條“高速公路”上行駛的“人員”能夠“放心駕駛”。至于“他們開什么樣的車，開往何方”等，則只好在今后的測評工作中就事論事了。國家標準從管理和技術兩個層面，對應用安全測評提出了若干條款。按照三級要求，國家標準中把應用安全的分為身份鑒別、訪問控制、安全審計、剩余信息保護、通信完整性、通信保密性、抗抵賴、軟件容錯和資源控制九個方面。（1）身份鑒別。b) 應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別；可以通過登陸時是否需要驗證以及具體需要驗證的種類來查看

3、。（2）訪問控制。e) 應具有對重要信息資源設置敏感標記的功能；f) 應依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作；通過訪問管理員的方式。（3）安全審計。b) 應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；查看二進制日志是否有修改編輯的選項。d) 應提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。查看二進制日志是否有自動分析過濾生成報表的功能。（4）剩余信息保護。a) 應保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內存中；b) 應保證系統(tǒng)內的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配給

4、其他用戶前得到完全清除。1.詢問管理員，具體措施有哪些。2.檢查設計/驗收文檔。3.以普通用戶身份登錄并進行一些操作。（5）通信完整性。應采用密碼技術保證通信過程中數(shù)據(jù)的完整性。訪問管理員在通信過程中是否對數(shù)據(jù)加密。或者查看系統(tǒng)設置，看是否有對信息加密處理的選項設置。（6）通信保密性。b) 應對通信過程中的整個報文或會話過程進行加密。訪問管理員在通信過程中是否對信息加密。或者查看系統(tǒng)設置，看是否有對信息加密處理的選項設置。（7）抗抵賴。a) 應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。訪問管理員，詢問系統(tǒng)

5、是否具有抗抵賴性，具體措施有哪些。（8）軟件容錯。b) 應提供自動保護功能，當故障發(fā)生時自動保護當前所有狀態(tài)，保證系統(tǒng)能夠進行恢復。采用滲透測試的方法來驗證系統(tǒng)中是否存在明顯的弱點。（9）資源控制。d) 應能夠對一個時間段內可能的并發(fā)會話連接數(shù)進行限制；e) 應能夠對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；f) 應能夠對系統(tǒng)服務水平降低到預先規(guī)定的最小值進行檢測和報警；g) 應提供服務優(yōu)先級設定功能，并在安裝后根據(jù)安全策略設定訪問帳戶或請求進程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。1.訪問管理員，是否有相應措施。2.查看資源控制列表，是否有相應選項。四、實驗記錄1) 身份鑒別本

6、項要求包括：a) 應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；（1）訪談應用系統(tǒng)管理員，詢問應用系統(tǒng)是否提供專用的登錄控制模塊對登錄的用戶進行身份標識和鑒別，采用何種方式對用戶進行身份標識和鑒別。預期結果：在業(yè)務需要的情況下應該提供專用的登錄控制模塊對登錄的用戶進行身份標識和鑒別。（2）檢查應用系統(tǒng)，查看用戶是否必須通過專用的登錄控制模塊才能登錄該系統(tǒng)，查看身份標識和鑒別的方式。步驟：打開 http:/目標主機 IP 地址/dede/login.php，查看用戶是否需要進行身份標識和鑒別。測試結果：需要進行身份標識和鑒別，用戶必須通過專用的登陸控制模塊才能登陸系統(tǒng)。（3）以某注冊用戶

7、身份登錄系統(tǒng)，查看登錄是否成功。步驟：打開 http:/目標主機 IP 地址/dede/login.php，然后用注冊賬戶 admin，密碼 admin 登錄系統(tǒng)。查看是否能夠登錄成功； 測試結果：用正確的注冊用戶身份可以登錄系統(tǒng)。（4）以非法用戶身份登錄系統(tǒng)，查看登錄是否成功。步驟：在登錄欄處，隨意輸入一個未經(jīng)注冊的非法用戶，查看是否能夠登錄成功。測試結果：用非注冊用戶身份或者錯誤的注冊用戶身份信息不可以登錄系統(tǒng)。b) 應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用；（1）詢問應用系統(tǒng)管理員，應用系統(tǒng)的用戶身份標識是否唯一。采取了

8、什么措施防止身份鑒別信息被冒用。測試結果：用戶身份標識唯一，并采取措施防止身份鑒別信息被冒用。（2）檢查總體規(guī)劃/設計文檔，查看其是否有系統(tǒng)采取了唯一標識的說明。查看其身份鑒別信息是否具有不易被冒用的特點。測試結果：對用戶身份唯一標識有文檔說明。（3）檢查應用系統(tǒng)是否有專門的設置保證用戶身份鑒別信息不易被冒用，如果應用系統(tǒng)采用口令進行身份鑒別，則查看是否有選項或設置強制要求口令長度、復雜度、定期修改等。步驟 1：使用正確用戶名和密碼登錄后臺，依次點擊系統(tǒng) -> 系統(tǒng)用戶管理，在出現(xiàn)的界面上點擊更改選項，進入后會看到相應的修改提示。 步驟 2：按照修改提示設置新的用戶密碼，檢查系統(tǒng)是否配備

9、了鑒別信息復雜度的檢查功能。在檢查時，使用簡單口令，如“1”，輸入安全驗證串，然后點擊保存用戶，查看系統(tǒng)是否具有口令復雜度檢查功能。預期結果 ：應有口令長度、復雜度的設置，并可以控制用戶口令是否進行定期修改。（4）以已有的用戶名重新注冊，測試系統(tǒng)是否禁止該操作。步驟 1：依次點擊系統(tǒng) -> 系統(tǒng)用戶管理，在出現(xiàn)的界面上點擊增加管理員選項。步驟 2:用已注冊用戶名 admin 嘗試注冊。測試結果：禁止已有用戶名的重新注冊，提供了用戶身份標識唯一和鑒別信息復雜度檢查功能。（5）掃描應用系統(tǒng)，測試其鑒別信息復雜度檢查功能，檢查系統(tǒng)是否不允許存在弱口令、空口令等。步驟 1：在添加用戶時，在密碼處

10、不輸入任何字符，查看是否允許存在空口令操作。步驟 2：在添加用戶時，在密碼處輸入簡單字符，如“11”，查看是否允許存在弱口令操作。測試結果：允許存在弱口令、空口令。c) 應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施；（1）詢問管理員應用系統(tǒng)是否具有登錄失敗處理的功能（如結束會話、限制非法登錄次數(shù)，當?shù)卿涍B接超時，自動退出等），是如何進行處理的。測試結果：應當限制登錄失敗次數(shù)。當?shù)卿涍B接超時，應當自動退出或提示。（2）檢查應用系統(tǒng)，如果有登錄失敗處理設置選項或模塊，查看系統(tǒng)是否設置或選中了該功能。步驟：點擊系統(tǒng)設置，查看是否有登錄失敗處理設置或模塊，再進行查看。測試結

11、果：登錄失敗時沒有相應提示或處理選項、模塊。（3）根據(jù)應用系統(tǒng)使用的登錄失敗處理方式，采用如下測試方法之一或全部：步驟 1：以錯誤的用戶名或密碼登錄系統(tǒng)，查看系統(tǒng)的反應。步驟 2：以系統(tǒng)規(guī)定的非法登錄次數(shù)登錄系統(tǒng)，查看系統(tǒng)的反應。步驟 3：登錄系統(tǒng)進行連接超時時，查看系統(tǒng)的反應。測試結果：用錯誤的用戶名或密碼無法登錄。登錄失敗次數(shù)超出限制時，系統(tǒng)有相應處理。登錄系統(tǒng)超時后有相應處理。d) 應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關參數(shù)。步驟 1：詢問系統(tǒng)管理員應用系統(tǒng)的身份鑒別、身份標識唯一性檢查、鑒別信息復雜度檢查以及登錄失

12、敗處理功能是否有專門的模塊或選項，是否有相關參數(shù)需要配置。測試結果：對身份鑒別、身份標識唯一性檢查、鑒別信息復雜度檢查以及登錄失敗處理功能應有專門的模塊、選項或配置參數(shù)。步驟 2：如果有參數(shù)需要配置，則查看實際配置情況，是否已經(jīng)啟用上述功能。測試結果：如有相關參數(shù)配置，應開啟了上述功能。e) 應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別；步驟：打開 http:/目標主機 IP 地址/dede/login.php，然后查看如何才能夠登錄成功；方法2：以管理員root的身份登陸，而后查看【系統(tǒng)】-【驗證安全設置】選項測試結果：使用了驗證碼和用戶密碼口令兩種鑒別技術。2) 訪問控制本

13、項要求包括：a) 應提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；（1）詢問應用系統(tǒng)管理員，系統(tǒng)是否提供訪問控制功能，訪問控制策略是什么？自主訪問控制的粒度如何？測試結果：系統(tǒng)應提供訪問控制功能，訪問控制策略。（2）檢查應用系統(tǒng)，查看系統(tǒng)是否提供訪問控制機制。步驟：瀏覽器地址欄鍵入“目標主機 IP 地址/phpmyadmin”，用戶名鍵入 root，密碼為空，選擇數(shù)據(jù)庫項，檢查用戶對各個數(shù)據(jù)庫的訪問權限。測試結果：系統(tǒng)提供了訪問控制機制。（3）檢查應用系統(tǒng)，查看系統(tǒng)是否設置有安全策略控制用戶對文件、數(shù)據(jù)庫中的數(shù)據(jù)等進行訪問。步驟 1：瀏覽器地址欄鍵入“目標主機 IP 地址

14、/phpmyadmin”，選擇數(shù)據(jù)庫項，點擊查看各個數(shù)據(jù)庫的訪問權限。步驟 2：點擊編輯各個數(shù)據(jù)庫的權限。測試結果：系統(tǒng)設置有安全策略控制用戶對文件、數(shù)據(jù)庫中的數(shù)據(jù)等進行訪問（4）檢查應用系統(tǒng)，查看系統(tǒng)的訪問控制粒度是否達到主體為用戶級，客體為文件、數(shù)據(jù)庫表級。步驟：以某一用戶身份登入系統(tǒng)，選擇數(shù)據(jù)庫選項卡，查看訪問控制粒度是否達到數(shù)據(jù)表級。測試結果：系統(tǒng)的訪問控制粒度達到主體為用戶級，客體為文件、數(shù)據(jù)庫表級。（5）以某一用戶身份登錄系統(tǒng)，依據(jù)安全策略對客體進行訪問，測試是否成功。該用戶不依據(jù)安全策略對客體進行訪問，測試是否成功。步驟 1：以 root 身份登入系統(tǒng)，嘗試對數(shù)據(jù)庫進行增加、刪除

15、、查詢、修改用戶權限等操作，查看 root 用戶權限。刪除數(shù)據(jù)庫：搜索查詢、導出數(shù)據(jù)庫：查看、更改訪問權限：步驟 2：以任意非 root 用戶身份登入系統(tǒng)，嘗試對數(shù)據(jù)庫進行添加、刪除、查詢等操作，查看其是否具有相應權限。例如，以 anyuser 身份登入系統(tǒng)：無法查看日志信息，無法查看權限設置，無新建數(shù)據(jù)庫權限，可查詢數(shù)據(jù)庫 information_schema，但無刪除數(shù)據(jù)庫權限：可瀏覽、查詢數(shù)據(jù)庫： 測試結果：以某一用戶身份登錄系統(tǒng)，依據(jù)安全策略對客體進行訪問，結果成功。但如果該用戶不依據(jù)安全策略對客體進行訪問，結果則為失敗。 b) 訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們

16、之間的操作；（1）訪談管理員，詢問系統(tǒng)訪問控制策略是否覆蓋到與信息安全直接相關的主體、客體及它們之間的操作？測試結果：系統(tǒng)訪問控制策略應覆蓋到與信息安全直接相關的主體、客體及它們之間的操作。（2）查看系統(tǒng)的具體安全策略內容是否覆蓋到與信息安全直接相關的所有主體、客體及它們之間的操作。測試結果：系統(tǒng)的具體安全策略內容應覆蓋到與信息安全直接相關的所有主體、客體及它們之間的操作。c) 應由授權主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權限；（1）檢查應用系統(tǒng)，查看系統(tǒng)是否有由授權主體配置訪問控制策略的功能。方法：以 root 身份登陸系統(tǒng)，選擇數(shù)據(jù)庫選項卡，查看是否能夠配置對各個數(shù)據(jù)庫的訪問策略

17、。例如，可進行以下步驟配置用戶對數(shù)據(jù)庫 test 的訪問策略。步驟 1：檢查“test”數(shù)據(jù)庫的權限。 步驟 2：點擊如圖按鍵即可針對不同用戶對數(shù)據(jù)庫“test”的權限進行編輯。測試結果：系統(tǒng)有由授權主體配置訪問控制策略的功能。（2）如果系統(tǒng)有由授權主體配置訪問控制策略的功能，則以該授權主體用戶登錄系統(tǒng)，查看某個特定用戶的權限。以該用戶身份登錄系統(tǒng)，進行在權限范圍內和權限范圍外的一些操作，查看是否成功。步驟 1：添加用戶。選擇權限->添加新用戶，添加一個名為add_user123的新用戶，不為其創(chuàng)建數(shù)據(jù)庫，不對其賦予任何特殊權限。步驟 2：退出當前登陸，以新建用戶 add_user123

18、 身份登入系統(tǒng)，嘗試對數(shù)據(jù)庫進行添加、刪除、查詢等操作，查看 add_user123 是否具有相應權限。無法查看日志信息，無法查看權限設置，無新建數(shù)據(jù)庫權限可查詢數(shù)據(jù)庫 information_schema和newtest，但無刪除數(shù)據(jù)庫權限：可瀏覽查看數(shù)據(jù)庫：測試結果：進行在權限范圍內的操作，成功；權限范圍外的操作，則失敗。（3）以該授權主體用戶登錄系統(tǒng)，修改上述特定用戶的權限。以該用戶身份登錄系統(tǒng)，查看該用戶的權限是否與剛修改過的權限保持一致，驗證用戶權限管理功能是否有效。方法：以 root 身份登陸系統(tǒng)，修改剛才新建用戶 add_user 的權限，例如：取消 add_user 訪問“te

19、st”數(shù)據(jù)庫的權限，然后以 add_user123 身份登入系統(tǒng)，查看 add_user123 是否有權訪問“newtest”數(shù)據(jù)庫。步驟 1：以 add_user123 身份登入系統(tǒng)，查看當前可以訪問的數(shù)據(jù)庫。 步驟 2：以 root 身份登陸系統(tǒng)，取消非 root 用戶對“newtest”數(shù)據(jù)庫的所有權限。步驟 3：再次以 add_user123 身份登入系統(tǒng)，查看當前可以訪問的數(shù)據(jù)庫是否包含“newtest”數(shù)據(jù)庫。 測試結果：權限管理正確。（4）檢查應用系統(tǒng)，查看系統(tǒng)是否有默認用戶，如果有，是否限制了默認用戶的訪問權限。步驟：選擇權限項，查看系統(tǒng)中存在的用戶（除了 add_user12

20、3 為新增用戶，其他用戶沒有進行任何更改）。 （5）如果有默認帳戶，以默認帳戶（默認密碼）登錄系統(tǒng)，并進行合法及非法操作，測試系統(tǒng)是否對默認帳戶訪問權限進行了限制。方法：以任一默認賬戶身份登陸，檢查此身份是否可以進行權限變更、用戶增刪等操作。 測試結果：該系統(tǒng)存在默認用戶。且限制了其訪問權限。 d) 應授予不同帳戶為完成各自承擔任務所需的最小權限，在它們之間形成相互制約的關系。（1）訪談系統(tǒng)管理員，詢問系統(tǒng)所有帳戶是否只擁有完成自承擔任務所需的最小權限，相互之間是否形成相互制約關系。測試結果：系統(tǒng)所有帳戶應只擁有完成自己承擔任務所需的最小權限。 （2）檢查應用系統(tǒng)，查看不同帳戶的權限是否分離（

21、如管理員不能審計、審計員不能管理、安全員不能審計和管理等、審計員不能修改自己的行為日志等）。權限之間是否相互制約。 步驟 1：選擇權限項，查看系統(tǒng)中的 root 用戶被賦予的權限。 步驟 2: 查看 root 用戶的權限。測試結果：root用戶擁有所有權限，未實現(xiàn)權限分離。（3）以管理員身份進行審計操作，查看是否成功。以審計員身份進行刪除/增加用戶、設定用戶權限的操作（也可進行一些其他管理員進行的操作），查看是否成功。步驟：以 root 身份登陸系統(tǒng)，查看權限，以及二進制日志。測試結果：管理員身份進行審計操作，成功。說明管理員擁有審計員的權限。 （4）以擁有其他權限的用戶身份登錄，查看其權限是

22、否受到限制。方法：以 add_user123 身份或其他非 root 身份登入系統(tǒng)，查看其是否具有增加用戶、刪除用戶、設定用戶權限等權限。 測試結果：用戶權限受到限制。沒有增加用戶、刪除用戶、設定用戶權限等權限。（視圖中無【權限】選項）e) 應具有對重要信息資源設置敏感標記的功能；f) 應依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作；方法：訪問管理員查看是否有敏感標記功能以及是否依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作；測試結果：無敏感標記功能。 3) 安全審計本項要求包括：a) 應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計；（1）訪談安全審計員，

23、詢問是否有安全審計功能，對事件進行審計的選擇要求和策略是什么。（2）檢查應用系統(tǒng)的審計策略（審計記錄），查看審計策略（或記錄）是否覆蓋到每個用戶。都對哪些安全事件進行審計。（3）多次以任意用戶身份登錄系統(tǒng)，進行一些操作，包括重要的安全相關操作或事件（如用戶標識與鑒別、自主訪問控制的所有操作記錄（如用系統(tǒng)管理員身份改變用戶權限，增加或刪除用戶），用戶的行為（如刪除數(shù)據(jù)、多次登錄失敗等）。（4）用審計人員的身份登錄系統(tǒng)，查看系統(tǒng)對上述用戶的重要操作或事件是否進行審計。以下步驟以 root 用戶為例，測試 root 用戶變更 add_user 訪問權限時，系統(tǒng)日志有無記錄。步驟 1：以 root 身

24、份登入系統(tǒng)，為 add_user 用戶增加對“test”數(shù)據(jù)庫的 SELECT, INSERT, UPDATE,DELETE 權限。 步驟 2：選中二進制日志選項卡，查看最近更新的日志，圖例中為 mysql-bin.00001. 選中后點擊執(zhí)行按鈕。步驟 3：查看日志信息。測試結果：應有安全審計功能、對事件進行審計的選擇要求和策略。審計策略（審計記錄）應覆蓋到每個用戶。對任意用戶操作的審計記錄功能應有效。b) 應保證無法刪除、修改或覆蓋審計記錄；（1）訪談安全審計員，詢問應用系統(tǒng)對審計日志的處理方式有哪些。（2）以普通用戶身份試圖刪除、修改或覆蓋自身的審計記錄，查看能否成功。試圖刪除、修改其他

25、人的審計記錄，查看能否成功。（3）如果審計記錄能夠導入，則導出審計記錄并進行修改后導入系統(tǒng)，查看能否覆蓋以前的審計記錄。步驟：以非 root 用戶身份登入系統(tǒng)，嘗試查看并刪除、修改或覆蓋自身的審計記錄。下圖顯示普通用戶無法查看日志記錄（視圖中無日志選項）。測試結果：普通用戶無法刪除、修改或覆蓋自身的審計記錄；如果審計記錄能夠導入，則導出審計記錄并進行修改后導入系統(tǒng)，應不能覆蓋以前的審計記錄。b) 應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；方法：以root身份登錄，查看二進制日志?？词欠衲軌蛐薷膶徲嬘涗洝y試結果：無修改審計記錄的選項。c) 審計記錄的內容至少應包括事件的日期、時

26、間、發(fā)起者信息、類型、描述和結果等；（1）以審計員身份登錄系統(tǒng)，檢查審計記錄內容是否包括事件發(fā)生的日期、時間、發(fā)起者信息、事件類型、事件相關描述信息、事件的結果等。 步驟：以 root 身份登入系統(tǒng)，選中二進制日志選項卡，查看日志信息包含的內容。測試結果：審計記錄內容包括事件發(fā)生的日期、時間、發(fā)起者信息、事件類型、事件相關描述信息、事件的結果等。d) 應提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。查看二進制日志，看是否有報表和分析的選項。測試結果：沒有對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。4) 通信完整性本項要求包括：a) 應采用校驗碼技術保證通信過程中數(shù)據(jù)的

27、完整性。（1）詢問安全管理員應用系統(tǒng)是否有數(shù)據(jù)在傳輸過程中進行完整性保證的操作，具體采取什么措施。（2）應檢查設計、驗收文檔，查看其是否有通信完整性的說明，如果有則查看是否采用校驗碼技術保證通信完整性。測試結果：系統(tǒng)有數(shù)據(jù)在傳輸過程中進行完整性保證的措施。5) 通信保密性本項要求包括：a) 在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證；（1）詢問安全管理員系統(tǒng)在通信雙方建立連接之前采用什么技術進行會話初始化驗證。（2）應檢查設計、驗收文檔，查看其是否有通信保密性的說明，如果有則查看是否有利用密碼技術進行通信會話初始化驗證的說明。測試結果：對初始化驗證措施有文檔說明。b) 應

28、對通信過程中的敏感信息字段進行加密。（1）詢問安全管理員應用系統(tǒng)的敏感信息字段在通信過程中是否采取保密措施，具體采取什么措施。（2）應檢查設計、驗收文檔，查看其是否有通信保密性的說明，如果有則查看是否有對通信過程中的敏感信息字段進行加密的說明。測試結果：系統(tǒng)的敏感信息字段在通信過程中應采取保密措施；對保密措施應有文檔說明。6) 軟件容錯本項要求包括：a) 應提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的；（1）訪談管理員，詢問是否有保證軟件具有容錯能力的措施，具體采取哪些措施。（2）在應用終端輸入不同（如數(shù)據(jù)格式或長度等符合、不符合軟件設定的要求）的數(shù)據(jù)，包括登錄標識與鑒別數(shù)

29、據(jù)、其他操作數(shù)據(jù)等，查看系統(tǒng)的反應。以下步驟以增加用戶為例。步驟：在瀏覽器地址欄輸入 http:/目標主機 IP 地址/dede/login.php，依次展開系統(tǒng) -> 系統(tǒng)用戶管理 -> 增加管理員，在用戶密碼設置處輸入“-9'、'a-z'、'A-Z'、'.'、''、'_'、'-'、'!'”以外的字符，測試系統(tǒng)是否能增加此用戶。測試結果：有保證軟件具有容錯能力的措施；有數(shù)據(jù)格式、長度等格式控制。b) 在故障發(fā)生時，應用系統(tǒng)應能夠繼續(xù)提供一部分保護功能，確保能夠實

30、施必要的措施。（1）詢問管理員應用系統(tǒng)是否發(fā)生過故障，故障發(fā)生時是否能夠繼續(xù)提供一部分功能保證實施必要的措施。測試結果：系統(tǒng)故障發(fā)生時有能夠繼續(xù)提供一部分功能保證實施必要的措施。7) 資源控制本項要求包括：a) 當應用系統(tǒng)的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠自動結束會話；（1）訪談應用系統(tǒng)管理員，詢問業(yè)務系統(tǒng)是否有資源控制的措施，具體措施有哪些。（2）登錄應用系統(tǒng)服務器，查看應用系統(tǒng)屬性是否設置了連接超時限制。方法：以某一用戶身份登陸 phpMyAdmin，長時間不作任何操作，查看系統(tǒng)反應。測試結果：有資源控制的措施；應用系統(tǒng)服務器有連接超時限制。b) 應能夠對應用系統(tǒng)的最

31、大并發(fā)會話連接數(shù)進行限制；（1）詢問管理員應用系統(tǒng)同時最多支持多少個并發(fā)會話連接？是否有限制？（2）登錄應用系統(tǒng)服務器，查看系統(tǒng)是否設置了參數(shù)限制最大并發(fā)會話連接數(shù)。步驟 1：瀏覽器地址欄鍵入目標主機 IP 地址/phpmyadmin，選擇權限項，查看各個用戶被賦予的權限。步驟 2：查看每小時服務器最大連接數(shù) max_connections。測試結果：系統(tǒng)沒有設置參數(shù)限制最大并發(fā)會話連接數(shù)。c) 應能夠對單個帳戶的多重并發(fā)會話進行限制。（1）詢問管理員單個帳戶同時可以發(fā)起多少個并發(fā)會話，是否有限制？（2）登錄應用系統(tǒng)服務器，查看系統(tǒng)是否對單個帳戶的多重并發(fā)會話進行限制。（3）以超過單個帳戶規(guī)定的并發(fā)會話連接數(shù)連接系統(tǒng)，測試能否成功。步驟：查看每個數(shù)據(jù)庫用戶的最大連接數(shù) max user_connections。測試結果：對單個帳戶同時可以發(fā)起的并發(fā)會話應有限制；對單個帳戶的多重并發(fā)會話沒有進行限制。d) 應能夠對一個時間段內可能的并發(fā)會話連接數(shù)進行限制；e) 應能夠對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；f) 應能夠對系統(tǒng)