一、Web 测试的测试方法
二、测试范围
功能 、 性能 、 界面 、 兼容性 、 安全性 、 DB 、 文档
1、功能测试
功能测试主要从链接、表单、Cookies、设计语言、数据库、文件上传等方面进行。
1）链接
2）表单
3）Cookies
Cookies 能够让网站服务器把少量数据存储到客户端的硬盘或内存，或是从客 户端的硬盘读取数据的技术。
Cookie 有哪些用途？
- 自动登录，登录时，选择记住用户名，下次登录会自动带出用户名来。
- 广告精准投放，当我们用浏览器搜索过一些关键字，如：web 测试书，某 手机，打开浏览器时，会推送相关浏览过的商品。
查看 Cookies
打开 IE，在工具栏点工具→Internet 选项→常规→（Internet 临时文件）浏 览历史记录→设置，这样可以查看到 Cookies 所存位置，还可以对其进行 设置。
Cookies 的测试包含以下几个方面
4）设计语言
Web 设计语言版本的差异可以引起客户端或服务器端严重的问题，如使用哪 种版本的 HTML 等。 不同的脚本语言，如 Java、JavaScript、ActiveX、VBScript 或 Perl 等，也要进 行验证。
关于设计语言的测试，应该注意以下几个方面
5）文件上传
- 只能上传允许的附件类型；
- 不能上传脚本或可执行文件；
- 不能单纯以后缀名来判断文件类型；
- 浏览好文件后，可以正常处理删除目标文件时出现的异常情况；
- 上传超大文件时可以正常处理，比如给出提示信息等；
- 上传的文件应该提供接口查看；
- 上传的文件不应该直接保存于数据库中，而是将文件保存在服务器端硬盘，而 在数据库中保存该文件的基本信息；
- 文件上传到服务器端后应该被重命名，防止文件名冲突。
2、性能测试
1 ）链接速度测试
链接的响应时间不能太长，一般不超过 5 秒。
2） 负载测试（Load Testing）
测试系统能够承受的最大负载（如最大用户量、最大业务量、最大数据量等）以及 性能表现。
3） 压力测试（Stress Testing）
测试系统在一定压力下的性能表现，通常业务的错误率不能超过 5%
3、界面测试 GUI（Graphical User Interface）即图形用户界面
1）格式验证
验证 Web 页面中一些空间默认的标准定义，如默认值、项目按顺序排列等。
2） 导航条测试
- 各页面导航条是否能正确地显示；
- 各页面下导航条显示的内容是否正确；
- 不同状态下（如登录与未登录），导航条显示的内容是否正确；
- 导航条的每项内容链接是否正确。
3） 拼写和语法测试
验证页面内容、菜单和链接、图片、表格内容的拼写和语法。
4） 页面排版测试
- 页面标题验证；
- 页面元素（文字、窗体、菜单、链接、公司商标等）排版验证；
- 页面图形验证；
- 页面版本信息验证；
- 不同分辨率下的页面显示情况验证；
- 页面长度验证。
3、安装性测试
1）基本安全性测试
2）认证测试
- 登录页面是否存在验证码，不存在说明存在漏洞。
- 验证码和用户名、密码是否一次性、同时提交给服务器验证，如果分开提交， 则存在漏洞。
- 在服务器端，只有在验证码检验通过后才进行用户名和密码的检验，否则存在 漏洞。
- 验证码是否为图片形式且在一张图片中，不为图片形式或不在一张图片中，说 明存在漏洞。
- 请求 10 次观察验证码是否随机生成，如果存在一定的规律（例如 5 次后出现 同一验证码）说明存在漏洞。
- 观察验证码图片中背景是否存在无规律的点或线条，如果背景为纯色（例如只 有白色）说明存在漏洞。
- 验证码在认证一次后是否立即失效。
- 服务器不能对认证错误提示准确的信息，如用户名错误、密码错误等。
- 提供合理的锁定策略。
- 预防认证被绕过，如 sql 注入。
3）会话管理测试
- 用户登录后，身份信息不再由客户端提交，而是以服务器端会话信息中保存的 身份信息为准。
- URL 中不能携带 Session ID 信息。
- 登录后的页面有明确的"退出"或"注销"按钮，注销时会话信息要清除。
4）权限管理测试
- 横向越权：攻击者尝试访问与他拥有相同权限的用户的资源。
- 纵向越权：一个低级别攻击者尝试访问高级别用户的资源。
5）文件和目录测试
- 不存在不需要对外开放的敏感接口或者接口进行了完善的权限控制；
- 禁止获取敏感的目录或文件信息；
- 所有对目录的访问均不能打印出文件列表；
- 禁止访问和下载文档的备份；
- 不能越权获取到不该获取的文件。 如 DirBuster 扫描。
4、数据库测试