安全测试专业考核试题（含详细答案）

安全测试专业考核试题（含详细答案）适用场景：软件测试岗位考核、安全测试入门进阶测评、企业内部技能验收考试时长：90分钟满分分值：100分答题说明：所有题目独立作答，简答题、实操题需结合实际测试场景作答，杜绝空泛理论堆砌一、单项选择题（共15题，每题2分，共30分）1.以下不属于Web安全常见漏洞的是（）A.SQL注入B.XSS跨站脚本C.接口越权D.页面排版错乱2.测试人员在对用户登录接口测试时，发现可直接修改请求参数中的用户ID，查看、操作其他用户数据，该漏洞属于（）A.垂直越权B.水平越权C.重放攻击D.弱口令漏洞3.以下关于SQL注入的描述，正确的是（）A.仅能获取数据库数据，无法篡改数据B.主要成因是程序未过滤用户输入的特殊字符C.静态网页不存在SQL注入风险D.仅针对MySQL数据库生效4.存储型XSS与反射型XSS最核心的区别是（）A.攻击代码长短不同B.是否存储在服务器数据库中C.攻击速度不同D.受害用户数量不同5.接口测试中，未对请求频次做限制，可被恶意用户短时间大量请求占用服务器资源，该风险为（）A.暴力破解B.接口未防重放C.未做限流防刷D.数据泄露6.以下哪种密码属于高危弱口令（）A.Abc@123456B.123456C.Lz2026#secD.Test@98767.文件上传漏洞最主要的危害是（）A.占用服务器存储空间B.上传恶意脚本文件，获取服务器权限C.导致页面加载缓慢D.影响用户正常上传文件8.下列不属于权限测试核心场景的是（）A.普通用户访问管理员后台接口B.修改他人订单数据C.正常用户登录个人中心D.绕过审核直接提交数据9.HTTP请求中，Referer字段伪造主要可测试哪种漏洞（）A.服务器未校验请求来源B.SQL注入C.XSS漏洞D.命令注入10.软件登录功能存在验证码可重复使用、无过期机制，最易引发哪种攻击（）A.XSS攻击B.暴力破解C.文件上传D.越权访问11.以下哪项属于敏感数据泄露风险（）A.前端源码展示用户手机号完整号码B.页面字体大小不一致C.接口响应速度延迟1秒D.按钮点击无反馈12.CSRF跨站请求伪造攻击的核心原理是（）A.利用用户已登录身份，诱导用户无意识发起请求B.注入恶意脚本篡改页面C.破解用户登录密码D.拦截并篡改网络请求数据13.对APP接口进行安全测试时，抓包修改请求参数，篡改金额、数量等核心字段，主要测试（）A.业务逻辑安全B.页面兼容性C.接口响应性能D.数据展示效果14.以下哪种配置属于服务器不安全配置（）A.关闭目录浏览功能B.开启默认账号、默认密码C.隐藏服务器版本信息D.禁止非法脚本执行15.安全测试中，漏洞修复验证的核心目的是（）A.确认漏洞彻底修复，无绕过风险B.完成测试流程任务C.优化页面展示效果D.提升接口响应速度二、判断题（共10题，每题1分，共10分，对的打√，错的打×）1.静态页面没有交互接口，不存在任何安全漏洞。（）2.水平越权是指低权限用户访问高权限用户的功能和数据。（）3.所有用户输入的参数、上传的文件、提交的内容，都需要做安全校验。（）4.接口只要添加token校验，就可以完全杜绝所有安全风险。（）5.反射型XSS仅需要用户点击恶意链接即可触发，无需服务器存储恶意代码。（）6.弱口令漏洞仅会影响个人账号安全，不会造成企业数据泄露。（）7.业务逻辑漏洞比常规Web漏洞更难发现，且危害更大。（）8.只要前端做了参数校验，后端无需重复校验。（）9.重放攻击是指拦截合法请求后，重复发送该请求，实现恶意操作。（）10.安全测试只需要在项目上线前做一次即可，无需迭代测试。（）三、简答题（共4题，每题8分，共32分）1.简述水平越权和垂直越权的区别，并各举1个实际业务场景案例。2.日常测试中，如何快速识别并初步验证SQL注入漏洞？写出核心测试步骤。3.简述文件上传漏洞的常见绕过方式，以及对应的防护方案。4.业务安全测试的核心测试点有哪些？至少列出6项并简单说明。四、实操分析题（共2题，每题14分，共28分）1.场景：某电商商城用户退款功能，用户申请退款后，后台管理员审核通过即可退款。测试人员抓包发现，退款接口请求参数包含【订单ID、退款金额、用户ID】，且无二次校验、无权限校验。请分析该场景存在的所有安全漏洞、漏洞危害，并给出对应的修复方案。2.场景：某社区论坛支持用户发布图文帖子，前端限制仅允许上传jpg、png格式图片，大小不超过5M。测试人员修改文件后缀、抓包篡改文件类型，成功上传php脚本文件，且可直接通过链接访问脚本。请完整梳理该漏洞的测试过程、风险危害、详细修复措施。参考答案（详细解析）一、单项选择题答案及解析1.D解析：页面排版错乱属于前端UI兼容性问题，不属于安全漏洞；其余三项均为Web高频安全漏洞。2.B解析：水平越权是同权限用户互相访问、操作彼此数据；垂直越权是低权限访问高权限功能。修改他人用户ID查看数据，属于水平越权。3.B解析：SQL注入可查询、篡改、删除数据库数据，适用于各类动态数据库交互场景，核心成因是未过滤用户输入特殊字符。4.B解析：核心区别为存储型XSS恶意代码会存入服务器数据库，所有访问对应页面的用户都会触发攻击；反射型XSS仅临时响应，不存储。5.C解析：接口无频次限制、无防刷机制，会导致恶意刷屏、CC攻击，占用服务器资源，属于未限流防刷风险。6.B解析：123456为通用高危弱口令，极易被暴力破解；其余均为字母、数字、符号组合的合规强密码。7.B解析：文件上传漏洞的核心危害是上传webshell等恶意脚本，攻击者可借此获取服务器控制权限，危害极大。8.C解析：普通用户正常访问个人中心属于合规业务场景，无安全风险；其余均为权限测试核心异常场景。9.A解析：伪造Referer可测试服务器是否校验请求来源，防止非法第三方站点发起请求。10.B解析：验证码无过期、可复用，攻击者可搭配密码字典持续暴力破解登录接口。11.A解析：前端直接展示完整手机号、身份证、银行卡号等信息，属于敏感数据明文泄露。12.A解析：CSRF攻击依托用户已登录的有效会话，诱导用户在不知情的情况下发起恶意请求。13.A解析：篡改业务核心参数（金额、数量、订单状态等），属于业务逻辑安全测试范畴。14.B解析：开启默认账号密码是高危不安全配置，极易被攻击者扫描利用；其余均为安全配置。15.A解析：漏洞复测的核心是验证漏洞完全修复，不存在绕过方式，杜绝隐患。二、判断题答案及解析1.×解析：静态页面可能存在源码泄露、敏感信息硬编码、XSS等漏洞，并非绝对安全。2.×解析：水平越权是同级用户数据互访；低权限访问高权限功能属于垂直越权。3.√解析：所有外部可控输入都是安全风险点，必须做好过滤、校验、转义。4.×解析：token仅能校验用户身份，无法防御SQL注入、XSS、参数篡改、越权等漏洞。5.√解析：反射型XSS为一次性触发，恶意代码不存入服务器，仅通过恶意链接传递参数触发。6.×解析：大量用户弱口令会导致批量账号被盗，引发批量数据泄露、恶意操作等企业级风险。7.√解析：业务逻辑漏洞贴合业务流程，无固定扫描特征，工具难以检测，人工测试为主，一旦出现危害极大。8.×解析：前端校验可被抓包绕过，所有安全校验必须在后端二次实现。9.√解析：重放攻击核心原理就是拦截合法请求，重复发送，实现重复下单、重复退款、刷积分等恶意操作。10.×解析：项目迭代更新、接口迭代、功能改版都会引入新漏洞，安全测试需要跟随版本持续迭代。三、简答题详细答案1.水平越权、垂直越权区别及场景案例（1）核心区别：水平越权是权限等级相同、用户身份不同，用户可查看/操作其他同级用户数据；垂直越权是权限等级不同，低权限用户可访问/操作高权限用户的功能、数据。（2）水平越权案例：普通用户A，通过修改请求参数中的用户ID，直接查看普通用户B的订单、收货地址、个人信息。（3）垂直越权案例：普通登录用户，未经过管理员权限校验，可直接访问后台用户管理、数据删除接口，执行管理员操作。2.SQL注入漏洞快速验证步骤（1）定位参数：找到页面、接口中用户可输入的参数，如账号、密码、搜索关键词、ID参数等；（2）基础payload测试：依次输入单引号【'】、双引号【"】、逻辑语句【and1=1】【and1=2】；（3）页面反馈判断：输入单引号后页面报错、数据库异常，输入and1=1正常展示、and1=2无数据/报错，大概率存在注入漏洞；（4）简单验证：拼接查询语句，尝试读取简单数据，确认漏洞可利用性；（5）记录漏洞位置、可利用参数、风险等级。3.文件上传漏洞常见绕过方式及防护方案（1）常见绕过方式：①后缀绕过：修改大小写后缀（PHP、JpG）、特殊后缀（php5、phtml）绕过前端格式限制；②抓包篡改：拦截上传请求，修改Content-Type文件类型，伪装成图片格式；③图片马绕过：图片文件嵌入恶意脚本，配合文件包含漏洞执行代码；④空格绕过：文件名后添加空格、特殊符号绕过后端校验。（2）防护方案：①后端严格校验文件后缀，仅允许业务所需的合法格式，禁用脚本格式后缀；②校验文件真实二进制头信息，杜绝伪装文件；③上传文件单独存储在非网站运行目录，禁止脚本执行权限；④上传后重命名文件，清除原有恶意文件名及后缀风险。4.业务安全测试核心测试点（1）权限安全：校验不同角色用户的访问、操作权限，杜绝水平、垂直越权；（2）参数安全：校验所有请求参数，防止篡改金额、数量、状态、ID等核心业务字段；（3）交易安全：测试下单、支付、退款、转账流程，杜绝重复支付、免费下单、恶意退款等问题；（4）防重放防刷：接口添加防重放机制、限流机制，防止恶意刷屏、重复请求、暴力破解；（5）数据安全：敏感数据脱敏展示、传输加密，防止明文泄露；（6）流程完整性：校验业务流程闭环，防止跳过关键步骤（跳过审核、跳过支付直接成交）；（7）验证码、令牌安全：校验验证码时效性、唯一性，令牌防篡改、防复用。四、实操分析题详细答案1.电商退款接口安全漏洞分析及修复方案（1）存在漏洞：①水平越权漏洞：可修改用户ID、订单ID，恶意操作其他用户的订单进行退款；②业务参数篡改漏洞：可随意修改退款金额，将小额订单改为大额退款，实现恶意套现；③无身份权限校验：普通用户可直接调用退款审核接口，绕过管理员审核流程；④无二次校验机制：接口无数据校验、无流程校验，任意请求均可生效。（2）漏洞危害：攻击者可批量篡改他人订单退款、恶意修改退款金额套取平台资金，造成平台经济损失、用户数据纠纷，破坏平台交易秩序。（3）修复方案：①增加身份绑定校验：后端校验订单归属用户，仅订单本人可发起退款申请，禁止操作他人订单；②核心参数固化校验：退款金额、订单原始金额由后台数据库读取，不接受前端、请求传参修改；③严格区分权限：退款发起权限为普通用户，退款审核权限仅对管理员开放，低权限用户禁止调用审核接口；④增加业务流程校验：必须满足订单状态、售后规则才可发起退款，杜绝跳过流程操作；⑤添加请求校验：接口增加token、时间戳、签名校验，防止篡改和重放攻击。2.论坛文件上传漏洞完整分析（1）漏洞测试过程：①前端仅限制jpg、png格式图片上传，属于前端弱校验，可直接绕过；②新建php恶意脚本文件，修改后缀为jpg，前端可正常选择上传；③抓包拦截上传请求，修改文件后缀为php、修改文件Content-Type为脚本类型；④数据包放行后，文件成功上传至服务器，且可通过公开URL直接访问执行脚本。（2）风险危害：攻击者可上传webshell后门脚本，通过脚本控制服务器，读取、篡改、删除网