安全测试策略：重点关注场景中的数据伪造、明文、xss注入、sql注入
1.用户权限测试
2.URL安全测试
3.参数提交安全测试
4.session测试
5.cookie安全测试
6.错误代码分析测试
7.代码注入测试
可修改页面代码请求测试，也可以在参数中植入源代码进行测试
8.会话变量泄露测试
9.记住密码和重置密码测试
10.可猜测用户账户遍历测试
11.密码和验证码暴力**测试
12.绕过授权模式测试
13.认证模式绕过测试
14.文件拓展名处理测试
15.业务逻辑测试
16.用户枚举测试
工具：
Burp Suite：安全、渗透测试必备，抓包、改包、重放、自动化执行。
sqlmap：sql注入工具，配合Burp Suite使用
Httpwatch professional:网页数据分析工具
Acunetix WebVulnerability Scanne:web安全自动扫描工具。
注：自动扫描工具有个通病，误报。使用此类工具需熟悉每种安全漏洞产生的原因，且对工具的探测和确定漏洞的规则有了解。排除误报
Appscan:商用自动扫描工具，只能装在一台机器上
系统上线前，还需第三方安全公司进行渗透测试。一般在准生产环境进行。同时对系统漏洞进行回归验证。
android和ios也需要安全测试。需要对android和ios的程序有结构性的了解。相对难一些。
如：android，需要进行apk安装包二次打包检测、反编译保护检测、Activity劫持保护检测、动态注入检测、内存访问和修改检测、键盘劫持检测、webview注入检测、组件安全检测等