如何简单设计接口测试用例
接口测试是项目测试的一部分 ，它测试的主要对象是接口 ，是测试系统组件间接口的一种测试。接口测试主要用于检测外部系统与所测系统之间以及内部各系统之间的交互点。测试的重点是检查数据交互、传递、和控制管理过程以及系统间的相互依赖关系等。 如何设计接口测试用例？首先，明确出发点，和所有的测试一样 ，接口测试出发点是你要证明所测的程序是错误的。以这个出发点为导向 ，你的设计行为就会尽量朝这个方向，更易发现问题 其次，选择好测试对象。对于一个系统做接口测试选择好的测试对象是接口测试关键。一个系统有无数的接口 ，每个接口如果分别测试 ，那将是很痛苦的一件事情，而且任何一个内部接口的变动 ，都将导致我们用例的不可用。 可将这些最外层的接口分为两类：一类是数据进入系统的接口；一类是数据流出系统的接口。进入系统的接口实际是我们用例的执行调用的接口。可通过变化参数对这些接口进行调用 ，模拟外部的使用；而流出的接口则是我们用例真正该验证的点。数据从哪里流出，流出时的状态如何 ，此时系统又是什么状态都是我们所应该验证的。 然后，确认完整的测试对象的功能：确认外部接口提供给使用这些接口的外部用户什么样的功能，外部用户真正需要什么样的功能。此两个功能一定要准确详细，用例的设计要严格按照测试对象功能设计才是正确的用例。 最后当出发点、对象、功能都确定了，就可以真正设计用例了。下面详细介绍下如何去设计一个结构好、可读性高、渗透性强的接口测试用例。 接口测试用例设计和测试用例设计一样，用例设计的内容应该包括：主要测试功能点、测试环境、测试数据、执行操作以及预期结果。 1）接口测试环境分为两种：一种是程序内部的环境；一种是程序的所调用外部接口的环境。 2）接口测试测试数据分为接口参数数据和用例执行所需系统数据。数据的设计、准备测试用例的数据上需要花费更多的心思。要通过好的测试数据使用例查找问题。接口参数数据需对每个参数根据测试接口的实际的功能进行分析，在符合业务逻辑的情况下进行逻辑组合排列 ，不要遗漏了某些边界值和错误点的数据。每个用例执行所需系统数据和接口参数数据尽可能的采用不一样的数据 ，使用例更容易发现问题。 3）测试功能点，如果一个接口功能复杂时推荐对接口用例进行结构划分 ，这样子用例具有更好的可读性和维护性。接口划分原则为以接口提供的功能点的不同进行合适粒度的划分。同一功能点的用例又可根据测试环境的不同、数据的不同进行用例的填充。 4）接口测试用例执行操作非常简单，就是所测接口的调用。 5）预期结果验证，这也是接口用例设计的很关键的一步 ，应该细而不冗余。每个用例均需验证 ，避免一个用例中重复做相同的验证 ，提高测试用例的效率。 如何设计接口测试用例小例子： 简单划分可以按照2个基本组成要素进行划分：1. 参数 2. 业务 以下为最简单的一种划分用例的方法，可能涵盖不全，但只为说明一种划分接口用例的方法方式以及需要考虑的测试用例的测试点 为何要如此设计，是为了更好的将用例分类为程序规定型以及业务限制型，尽量的保证覆盖，尽量细化到点的划分形式来保证工作时间的预估和计划。 所有的自动化接口的测试用例 都基本围绕三部曲进行，传数据，执行，校验返回的数据和期望数据是否一致来构成每个简单的测试用例。 有清晰的线路和清晰的思维，才能做好整体测试的掌控。
渗透测试。黑盒测试怎样转渗透测试，学要学习什么？
要学的有很多，白盒测试复杂些，要求编程能力，能够看懂代码，白盒测试主要由开发人员来做，具体的要求要看产品使用哪种语言开发，当然也可以使用一些工具来做代码审查之类，如XUnit……
黑盒测试可以不用关心程序的内部设计，只需关注输入输出即可，很多公司都是以黑盒测试为主的，要了解软件测试的基础知识，如：软件测试用例设计方法（等价类划分法、边界值分析法……）
对于新手，可以看自己的能力，如果开发能力较强，可以从白盒测试入手，但不管哪种测试，都需要软件测试的基础知识，如测试流程、测试方法……
软件测试员都做什么工作？
1、功能测试，现在习惯称之为手工测试，也就是通过点点点的方式来找到一款即将上市的软件中的问题，有什么bug提交给开发人员修改，把自己想象成一个准用户，先体验一下这个软件，这时候需要的技术很少，会用adb命令，Charles，postman基本就能做了
2、接口测试，这是属于进阶的一种，具体是什么呢，我们可以把一个软件的各个功能想象成一个个的零件，这些零件协同运作，软件才能好用，而零件之间是通过接口链接的，这个测试就是直接调用接口，检查问题，不用关心零件长什么样子，这时候需要Charles，postman，jmeter,fiddler等工具
3、性能测试，包含的东西挺多的，像负载测试，压力测试，中断测试等，比如软件启动时长，服务器承载能力，与其他软件兼容性等，运行稳定性，这时候也需要jmeter，他能不用代码的录制脚本，还有其他的测试工具像web bench是一个简单的web或者web代理服务的基准测试工具，Siege（英文意思是围攻）是一个压力测试和评测工具，设计用于WEB开发这评估应用在压力下的承受能力，还有其他的一些，这里就不一一的说了
4、自动化测试，必然要掌握一门语言的，目前用python的比较多，因为灵活，而且有好多框架，像ui自动化用的selenium，接口自动化的HTTPruuner，性能也有自动化locust，loadrunner框架，这时候技术需要的就很多了
5、安全测试，这类人需要的技术很高，我接触的也不多，但是传说中的白帽子黑客就是这类人，他们负责的渗透测试，sql注入，脱库等等，知道的不多，不敢妄加猜测，反正我知道薪水非常高。
软件测试都要掌握哪些内容啊？
软件测试大体分为功能测试、性能测试、接口测试、自动化测试几个方向，不同的方向需要学习的具体内容也不尽相同。
接下来就为大家讲解一下每个阶段具体要学什么？
功能测试比较基础，就是测试软件的基本功能有没有问题，是初级软件测试员都要掌握的技能。要学计算机基础、软件测试核心理论、企业级环境配置实践。具体会学习计算机基础，软件生命周期、开发模型、测试模型。软件测试概念，软件测试方法及分类、热门领域测试技巧。Linux系统，数据库的定义及基本概念，MySQL、Oracle等内容。
性能测试则是进阶的测试技能，是测试软件的性能，如负载等等。要学性能测试核心理论、Loadrunner。会学到性能测试，VuGen，Controller，Analysis，性能测试调优，数据库调优，性能测试指标，Jmeter在性能测试中的应用。搭建测试环境，编写测试计划和测试用例，设置和运行场景，监控和收集数据，写分析报告，项目综合评审等内容。
接口测试则是测试模块与模块之间的接口有没有问题。要学接口测试综合核心理论、Jmeter、网络安全测试课程。具体要学习接口测试，Postman安装使用，Fiddler安装使用，Web和手机抓包，基本设置方法。Jmeter，搭建接口测试环境，分析业务流程。Web安全核心理论、Web漏洞及防御、渗透测试、SQL注入、XSS跨站脚本、AppScan等内容。
自动化测试则是通过编写脚本来实现用工具自动对软件进行测试，要学Python编程技术、自动化测试入门、Web自动化测试：Selenium、移动自动化测试：Appium。具体学习Python，自动化测试分类及自动化适用的项目。学习Selenium，Appium，Monkey等。
如何进行Web渗透测试
什么是渗透测试？
渗透测试，是渗透测试工程师完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标网络、主机、应用的安全作深入的探测，发现系统最脆弱的环节。
如何进行Web渗透测试？
完整web渗透测试框架当需要测试的web应用数以千计，就有必要建立一套完整的安全测试框架，流程的最高目标是要保证交付给客户的安全测试服务质量。
1、立项：项目建立，时间安排，人力分配，目标制定，厂商接口人确定；
系统分析威胁分析：针对具体的web应用，分析系统架构、使用的组件、对外提供的接口等，以STRIDE为威胁模型进行对应的安全威胁分析，输出安全威胁分析表，重点关注top3威胁；
制定测试用例：根据威胁分析的结果制定对应的测试用例，测试用例按照模板输出，具备可执行性；
测试执行漏洞挖掘：测试用例执行发散测试，挖掘对应的安全问题or漏洞；
问题修复回归测试：指导客户应用开发方修复安全问题or漏洞，并进行回归测试，确保安全问题or漏洞得到修复，并且没有引入新的安全问题；
项目总结评审：项目过程总结，输出文档评审，相关文档归档。
2、Web应用的渗透测试流程
主要分为3个阶段，分别是：信息收集→漏洞发现→漏洞利用，下面仔细分析一下各个阶段流程：
一、信息收集
在信息收集阶段，我们需要尽量多的收集关于目标web应用的各种信息，比如：脚本语言的类型、服务器的类型、目录的结构、使用的开源软件、数据库类型、所有链接页面，用到的框架等
脚本语言的类型：常见的脚本语言的类型包括：php、asp、aspx、jsp等
测试方法：
1 爬取网站所有链接，查看后缀
2 直接访问一个不存在页面后面加不同的后缀测试
3 查看robots.txt，查看后缀
服务器的类型：常见的web服务器包括：apache、tomcat、IIS、ngnix等
测试方法：
1 查看header，判断服务器类型
2 根据报错信息判断
3 根据默认页面判断
目录的结构：了解更多的目录，可能发现更多的弱点，如：目录浏览、代码泄漏等。
测试方法
1 使用字典枚举目录
2 使用爬虫爬取整个网站，或者使用google等搜索引擎获取
3 查看robots.txt是否泄漏
使用的开源软件：我们如果知道了目标使用的开源软件，我们可以查找相关的软件的漏洞直接对网站进行测试。
测试方法
指纹识别（网络上有很多开源的指纹识别工具）
数据库类型：对于不同的数据库有不同的测试方法。
测试方法
1 使应用程序报错，查看报错信息
2 扫描服务器的数据库端口（没做NAT且防火墙不过滤时有效）
所有链接页面：这个跟前面的获取目录结构类似，但是这个不只是获取网站的所有功能页面，有时候还可以获取到管理员备份的源码。
测试方法
1 使用字典枚举页面
2 使用爬虫爬取整个网站，或者使用google等搜索引擎获取
3 查看robots.txt是否泄漏
用到的框架：很多网站都利用开源的框架来快速开发网站，所以收集网站的框架信息也是非常关键的。
测试方法
指纹识别（网络上有很多开源的指纹识别工具）
二、漏洞发现
在这个阶段我们在做测试的时候要对症下药，不能盲目的去扫描，首先要确定目标应用是否使用的是公开的开源软件，开源框架等、然后在做深一度的漏洞扫描。
关于开源软件的漏洞发现
开源的软件：常见的开源软件有wordpress、phpbb、dedecms等
开源的框架：常见的开源框架有Struts2、 Spring MVC、ThinkPHP等
中间件服务器：常见的中间件服务器有jboss、tomcat、Weblogic等
数据库服务：常见的数据库服务mssql、mysql、oracle、redis、sybase、MongoDB、DB2等
对于开源软件的测试方法
1 通过指纹识别软件判断开源软件的版本信息，针对不同的版本信息去开放的漏洞数据库查找相应版本的漏洞进行测试
2 对于默认的后台登录页、数据库服务端口认证等入口可以进行简单的暴力破解、默认口令尝试等操作
3 使用开源的漏洞发现工具对其进行漏洞扫描，如：WPScan
关于自主开发的应用
手动测试：这个阶段，我们需要手工测试所有与用户交互的功能，比如：留言、登入、下单、退出、退货、付款等操作
软件扫描：使用免费的软件扫描，如：appscan、wvs、netsparker，burp等
可能存在的漏洞
Owasp关键点
代码安全之上传文件
代码安全之文件包含
代码安全之SSRF
逻辑漏洞之密码重置
逻辑漏洞之支付漏洞
逻辑漏洞之越权访问
平台安全之中间件安全
三、漏洞利用
针对不同的弱点有不同的漏洞利用方式，需要的知识点也比较多。一般这个阶段包括两种方式，一种是手工测试，一种是工具测试
手工测试
手工测试是通过客户端或服务器访问目标服务，手工向目标程序发送特殊的数据，包括有效的和无效的输入，观察目标的状态、对各种输入的反应，根据结果来发现问题的漏洞检测技术。手工测试不需要额外的辅助工具，可由测试者独立完成，实现起来比较简单。但这种方法高度依赖于测试者，需要测试者对目标比较了解。手工测试可用于Web应用程序、浏览器及其他需要用户交互的程序。
这种方式对于有特殊过滤等操作，或者网络上没有成型的利用工具的时候可以使用。
工具测试
网络上有很多好用的免费利用工具，比如针对sql注入的sqlmap、针对软件漏洞的matesploit等。
0条大神的评论