代码安全性测试

委托方

软件开发单位、软件用户

测试目的

随着软件技术和网络技术不断发展，各操作系统及网络安全设备的不断更新升级，系统相当数量的安全问题都是由于应用软件自身存着的安全漏洞引起的，软件自身存在的安全漏洞对系统的影响甚至超过了操作系统和网络层漏洞的影响，恶意的攻击者可以利用软件自身的安全漏洞提升权限，访问未授权资源，甚至破坏敏感数据造成重大损失，软件代码安全测试通过软件源代码静态扫描与人工代码审查相结合的方式直接软件源代码中找出安全漏洞。

提交资料

1、提交计算机软件代码安全测试委托表（需要签字）。
2、提供软件源代码。
4、提供系统详细设计说明书。

测试内容

根据CWE（common weakness enumeration）通用缺陷列表，使用CheckMarx对源代码进行扫描然后通过人工分析的方法查找代码中的安全问题，包括：SQL注入、跨站、跨站脚本伪造、代码注入、路径遍历、违法信任边界、信息泄漏等。

报告

提交软件源代码安全测试报告。

测试周期

需要根据软件源代码行数的大小和测试内容点确定，一般在客户提交源代码后20个工作日内可提交结果（即软件源代码安全测试报告），如需回归测试，测试周期还需在首次测试周期的基础上提高50%。