张蕾

摘 要：软件在给人类快速普及和带来便利的同时，软件安全漏洞的存在也会对公司和个人造成重大经济损失，甚至危害到人身安全。本文针对不同的测试对象、源代码、移动APP和web，分别介绍对应的测试方法和工具。

关键词：安全测试；源代码；移动APP安全；web安全；测试工具

中图分类号：TP311 文献标识码：A

0.引言

在软件行业快速发展的同时，安全测试逐渐得到人们的重视。根据测试对象的不同，安全测试也需要采用不同的方法。本文重点介绍适用于源代码、移动APP和web的安全测试方法和工具。

1.源代码安全测试

静态分析技术在安全审计方面有着举足轻重的地位，代码级安全的实质就是要保护信息系统或信息网络中的信息资源从最底层免受各种类型的威胁、干扰和破坏。目前源代码静态扫描工具有Its4、Rats、Flawfinder、Splint、Cppcheck等，这里简要介绍下fortify工具。

Fortify SCA 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。

Fortify源代碼扫描结果如图1所示。

2.移动APP安全测试

随着移动应用软件的快速发展，恶意软件和病毒等方面的安全事件也大幅增长。针对移动APP的安全测试包括：安装包测试、敏感信息测试、软键盘劫持、账户安全、数据通信安全、组件安全测试、服务器接口。……