按照阶段划分

白盒测试，灰盒测试，黑盒测试

按照测试执行方式

手工测试，自动化测试

按照对象分

app测试，游戏测试，等

按照目的分

功能测试，性能测试，安全测试，稳定性测试，易用性测试，可移植性测试等

还有单元测试 集成测试 系统测试

1.跨站脚本（XSS）
　　XSS又叫CSS（CROSS SET SCRIPT），跨站脚本攻击。它指的是恶意攻击者往WEB页面里插入恶意的html代码，当用户浏览该页面时，嵌入其中的html代码会被执行，从而达到恶意用户的特殊目的；（钓鱼、盗取cookie、操纵受害者的浏览器、蠕虫攻击）

2.反射型跨站（Reflected XSS）
　　服务器端获取http请求中的参数，未经过滤直接输出到客户端。如果这些参数是脚本，它将在客户端执行（钓鱼常见）。

3.存储型跨站（Stored XSS）
　　用户输入的数据存在服务器端（一般存在数据库中），其他用户访问某个页面时，这些数据未经过滤直接输出。这些数据可能是恶意的脚本，对其他用户造成危害。（挂马

常见）
　　在允许上传文件的应用中，攻击者上传一个包含恶意代码的html或者txt文件，用户浏览这些文件执行恶意代码；
　　一般的应用中上传图片最普遍，如果图片中包含恶意代码的html或者txt文件，，低版的IE直接请求这个图片时，将忽略Content-Type执行图片中的代码。

4.DOM跨站(DOM-Based XSS)
　　攻击者构造一个包含恶意Javascript的URL，然后引诱用户请求这个URL。服务器收到请求后没有返回恶意的Javascript。
　　浏览器在处理URL中的数据时，执行恶意代码。

5.跨站请求伪造(CSRF)
　　强迫受害者的浏览器向一个易受攻击的Web应用程序发送请求,最后达到攻击者所需要的操作行为。
　　恶意请求会带上浏览器的Cookie。受攻击的Web应用信任浏览器的Cookie。

6.SQL注入
　　用户输入的数据未经验证就用来构造SQL
　　查询语句，查询数据库中的敏感内容,绕过认证添加、删除、修改数据、拒绝服务。

7.XML注入
　　和SQL注入原理一样，XML是存储数据的地方，如果在查询或修改时，如果没有做转义，直接输入或输出数据，都将导致XML注入漏洞。攻击者可以修改XML数据格式，增加新的XML节点，对数据处理流程产生影响。

 

8.URL跳转
　　Web应用程序接收到用户提交的URL参数后，没有对参数做”可信任URL”的验证，就向用户浏览器返回跳转到该URL的指令。（钓鱼攻击）

 

9.文件系统跨越
　　文件系统中../代表上级目录，通过一个或多个../跨越目录限制。

 

10.系统命令
　　用户提交的参数用于执行系统命令的参数。
　　使用”|”或”;”执行多条命令。

 

11.文件上传
　　Web应用程序在处理用户上传的文件时，没有判断文件的扩展名是否在允许的范围内，或者没检测文件内容的合法性，就把文件保存在服务器上，甚至上传脚本木马到web服务器上，直接控制web服务器。（未限制扩展名、未检查文件内容、病毒文件）

 

12.任意文件下载
　　下载附件等功能
　　Apache虚拟目录指向
　　Java/PHP读取文件
　　下载数据库配置文件等
　　目录浏览

 

13.权限控制
　　有没有权限
　　有些系统不需要权限控制
　　有没有设置权限
　　有了强大的权限系统，但是没有使用
　　有没有偷工减料权限
　　URL级别
　　菜单级别

 

14.访问控制
　　水平权限
　　Web应用程序接收到用户请求，修改某条数据时，没有判断数据的所属人，或判断数据所属人时，从用户提交的request参数（用户可控数据）中，获取了数据所属人id，导致恶意攻击者可以通过变换数据ID，或变换所属人id，修改不属于自己的数据。
　　垂直权限
　　由于web应用程序没有做权限控制，或仅仅在菜单上做了权限控制，导致的恶意用户只要猜测其他管理页面的URL，就可以访问或控制其他角色拥有的数据或页面，达到权限提升目的。

 

15.Session Expires
　　会话过期
　　浏览器过期
　　服务器30分钟无动作过期
　　服务器24小时强制过期
　　保持会话

失效的身份验证机制

  只对首次传递的Cookie加以验证，程序没有持续对Cookie中内含信息验证比对，攻击者可以修改Cookie中的重要信息以提升权限进行网站数据存取或是冒用他人账号取得个人私密资料（测试对象：可以进行传参的URL，提交请求页面，登录后的Cookie）

会话管理劫持

  检测Web应用程序会话机制是否存在安全隐患，能否被非法利用（会话劫持，伪装成合法用户）而影响Web应用程序的安全。

SQL注入

  注入攻击漏洞,这些攻击发生在当不可信的SQL语句作为命令或者查询语句的一部分,被发送给解释器的时候。攻击者发送的恶意数据可以欺骗解释器,以执行计划外的命令或者在未被恰当授权时访问数据。

XPath注入

  XPath注入攻击是指利用XPath 解析器的松散输入和容错特性，能够在URL、表单或其它信息上附带恶意的XPath 查询代码，以获得权限信息的访问权并更改这些信息。XPath注入攻击是针对Web服务应用新的攻击方法，它允许攻击者在事先不知道XPath查询相关知识的情况下，通过XPath查询得到一个XML文档的完整内容。

XSS跨站脚本攻击 恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。

CSRF跨站请求伪造

  攻击者通过调用第三方网站的恶意脚本来伪造请求，在用户不知情的情况下，攻击者强行递交构造的具有“操作行为”的数据包。（测试对象：网页中可进行输入的表单）

不安全的直接对象引用

  在具有导出/下载功能的页面参数中修改内容，WEB服务器便会导出/下载程序源代码或者指定文件（测试对象：URL中有用户参数的地址，可以进行下载操作的地址）或者当开发人员暴露一个对内部实现对象的引用时,例如,一个文件、目录或者数据库密匙, 就会产生一个不安全的直接对象引用。在没有访问控制检测或其他保护时,攻击者会操控这些引用去访问未授权数据

安全配置错误

  Config中的链接字符串以及用户信息，邮件，数据存储信息等都需要加以保护，如果没有进行保护，那么就是安全配置出现了问题。

不安全的加密存储

  未对需要保护的数据进行加密或者加密算法太弱都是不安全的加密存储

没有限制URL访问

  系统已经对URL的访问做了限制，但这种限制却实际并没有生效。攻击者能够很容易的就伪造请求直接访问未被授权的页面（测试对象：需要身份验证的页面）

传输层保护不足

  在身份验证过程中没有使用SSL/TLS，因此暴露传输数据和会话ID，被攻击者截听。它们有时还会使用过期或者配置不正确的证书。（测试对象：登录模块）

未验证的重定向（redirectUrl）和转发

  攻击者可以引导用户访问他们所要用户访问的站点。而最终造成的后果，重定向会使得用户访问钓鱼网站或是恶意网站。

敏感信息泄露

  许多Web应用程序没有正确保护敏感数据,如信用卡、税务ID和身份验证凭据。攻击者可能会窃取或篡改这些弱保护的数据以进行信用卡诈骗、身份窃取或其他犯罪。敏感数据值需额外的保护,比如在存放或在传输过程中的加密,以及在与浏览器交换时进行特殊的预防措施。

功能级访问控制缺失

  大多数Web应用程序的功能在UI页面显示之前,会验证功能级别的访问权限。但是,应用程序需要在每个功能被访问时在服务器端执行相同的访问控制检查。如果请求没有被验证,攻击者能够伪造请求从而在未经适当授权时访问功能。

使用含有已知漏洞的组件

  组件,比如 :库文件、框架和其他软件模块,几乎总是以全部的权限运行。如果使用含有已知漏洞的组件,这种攻击可以造成更为严重的数据丢失或服务器接管。应用程序使用带有已知漏洞的组件会破坏应用程序防御系统,并使一系列可能的攻击和影响成为可能。危害比较严重

缓冲区溢出

  当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量，溢出的数据覆盖在合法数据上。

LDAP注入

  利用LDAP注入技术的关键在于控制用于目录搜索服务的过滤器。使用这些技术，攻击者可能直接访问LDAP目录树下的数据库，及重要的公司信息。情况还可能比这更严重，因为许多应用的安全性依赖于基于LDAP目录的单点登录环境。

篡改输入

  利用一些命令或者工具等篡改一些字段的值，从而达到恶意的效果。例如，篡改商品的单价和数量等。