弟子段草
测试流程依次如下：
1、需求：阅读需求，理解需求，与客户、开发、架构多方交流，深入了解需求。--testing team
2、测试计划: 根据需求估算测试所需资源（人力、设备等）、所需时间、功能点划分、如何合理分配安排资源等。---testing leader or testing manager
3、用例设计：根据测试计划、任务分配、功能点划分，设计合理的测试用例。---testing leader, senior tester
4、执行测试：根据测试用例的详细步骤，执行测试用例。--every tester(主要是初级测试人员)
5、执行结果记录和bug记录：对每个case记录测试的结果，有bug的在测试管理工具中编写bug记录。--every tester(主要是初级测试人员)
6、defect tracking：追踪leader分配给你追踪的bug.直到 bug fixed。--every tester
7、测试报告：通过不断测试、追踪，直到被测软件达到测试需求要求，并没有重大bug.
8、用户体验、软件发布等。
扩展资料：
流程分析：
这个流程唯一的优点，就是能快速的发现并修复问题。
这个流程中，项目经理是核心，项目经理也确实是有多年开发与项目经验的牛人，他喜欢不定期分享上些前沿的技术。
对于测试来说，需求很不明确，测试文档与用例也是可有可无的产物，没有需求文档，或非常简陋，根据需求文档根本无法编写用例。
通用的测试用例，如登录、文件上传下载、列表翻页、日期选择、输入框验证、搜索等有一些“通用型”用例，以便在测试过程中做参考。
参考资料：程序测试_百度百科
软件测试如何做安全性检查呢，比如输入什么特殊字符
针对应用安全（网站类型）
第一步 收集信息，你需要了解，一般有多少个url地址及页面、请求的情况等等（一般在你完成功能测试后，已经知道了）
第二步 分层检查 简单的来的话，分2层，页面层，针对输入框进行跨站、SQL注入等字符的进行检查，这是比较常规的方式，在完成这个一个层面的检查后，你可以针对请求层来进行检查，一般问题是出在隐藏的传递属性上，因为，开发常规会对输入的参数进行前后台字符校验，而对于默认的传递参数会忽略掉，而这就是漏洞的所在
第三步 猜测性测试，这种方法主要是针对服务中间件的测试，我们会根据IIS、weblogic、apache等应用中间件的默认响应页面进行猜测，还有一些错误信息页面，比如黄页中的信息，这些都是应该避免
这样的方式比较繁琐和复杂，当然如果有相关的测试工具话 相对可以比较快捷一点，首先它能帮助我们完成信息收集和第一轮的安全检查，根据其的报告，我们可以深入的进行更深层次的安全检查，提高我们的测试效率。
简述一套完整的软件测试过程
阶段：编写测试计划，测试用例、测试缺陷报告，并执行测试用例，搭建Windows测试环境，熟练使用Bugzilla提交软件缺陷报告
至于为什么嘛，当然要一步步来的，要有计划才能执行啊，大概是这样吧 ^_^
使用测试技术及工具：白盒测试和黑盒测试 Loadrunner、Winrunner
能够运用边界值、等价类划分法、因果图、状态图、大纲法等测试方法设计高效测试用例
软件测试工作总体流程图：
http://www.testage.net/Studio/Tech/200601/143.htm
详细测试步骤：
1. 书写测试计划
2. 审核测试计划，未通过返回第一步
3. 书写测试用例；
4. 审核测试用例，未通过返回第三步
5. 测试人员按照测试用例逐项进行测试活动,并且将测试结果填写在测试报告上；（测试报告必须覆盖所有测试用例）
6. 测试过程中发现bug，将bug填写在bugzilla上发给集成部经理；（bug状态NEW）
7. 集成部经理接到bugzilla发过来的bug
7.1 对于明显的并且可以立刻解决的bug，将bug发给开发人员；（bug状态ASSIGNED）;
7.2 对于不是bug的提交，集成部经理通知测试设计人员和测试人员，对相应文档进行修改; （bug状态RESOLVED，决定设置为INVALID）;
7.3 对于目前无法修改的,将这个bug放到下一轮次进行修改；（bug状态RESOLVED，决定设置为REMIND）
8. 开发人员接到发过来的bug立刻修改;（bug状态RESOLVED，决定设置为FIXED）
9. 测试人员接到bugzilla发过来的错误更改信息，应该逐项复测，填写新的测试报告（测试报告必须覆盖上一次中所有REOPENED的测试用例）；
10. 如果复测有问题返回第六步（bug状态REOPENED）
11. 否则关闭这项BUG（bug状态CLOSED）
12. 本轮测试中测试用例中有95%一次性通过测试,结束测试任务；
13. 本轮测试中发现的错误有98%经过修改并且通过再次测试（即bug状态CLOSED），返回第五步进行新的一轮测试；
14. 测试任务结束后书写测试总结报告；
15. 正规测试结束进入非正规测试，首先是ALPHA测试，请公司里其他非技术人员以用户角色使用系统。发现bug通知测试人员，测试人员以正规流程处理bug事件；
16. 然后是BETA测试，请用户代表进行测试。发现bug通知测试人员，测试人员以正规流程处理bug事件。
软件的安全性应从哪几个方面去测试？
一、用户认证安全的测试：
1、明确区分系统中不同用户权限
2、系统中会不会出现用户冲突
3、系统会不会因用户的权限的改变造成混乱
4、用户登陆密码是否是可见、可复制
5、是否可以通过绝对途径登陆系统（拷贝用户登陆后的链接直接进入系统）
6、用户退出系统后是否删除了所有鉴权标记，是否可以使用后退键而不通过输入口令进入系统
二、系统网络安全的测试
1、测试采取的防护措施是否正确装配好，有关系统的补丁是否打上
2、模拟非授权攻击，看防护系统是否坚固
3、采用成熟的网络漏洞检查工具检查系统相关漏洞（即用最专业的黑客攻击工具攻击试一下，现在最常用的是 NBSI 系列和 IPhacker IP ）
4、采用各种木马检查工具检查系统木马情况
5、采用各种防外挂工具检查系统各组程序的客外挂漏洞
三、 数据库安全测试：
1、系统数据是否机密（比如对银行系统，这一点就特别重要，一般的网站就没有太高要求）
2、系统数据的完整性（我刚刚结束的企业实名核查服务系统中就曾存在数据的不完整，对于这个系统的功能实现有了障碍）
3、系统数据可管理性
4、系统数据的独立性
5、系统数据可备份和恢复能力（数据备份是否完整，可否恢复，恢复是否可以完整）
软件测试的方法一共有几种
1、从是否关心内部结构来看
（1）白盒测试：又称为结构测试或逻辑驱动测试，是一种按照程序内部逻辑结构和编码结构，设计测试数据并完成测试的一种测试方法。
（2）黑盒测试：又称为数据驱动测试，把测试对象当做看不见的黑盒，在完全不考虑程序内部结构和处理过程的情况下，测试者仅依据程序功能的需求规范考虑，确定测试用例和推断测试结果的正确性，它是站在使用软件或程序的角度，从输入数据与输出数据的对应关系出发进行的测试。
（3）灰盒测试：是一种综合测试法，它将“黑盒”测试与“白盒”测试结合在一起，是基于程序运行时的外部表现又结合内部逻辑结构来设计用例，执行程序并采集路径执行信息和外部用户接口结果的测试技术。
2、从是否执行代码看
（1）静态测试：指不运行被测程序本身，仅通过分析或检查源程序的语法、结构、过程、接口等来检查程序的正确性。
(2)动态测试：是指通过运行被测程序，检查运行结果与预期结果的差异，并分析运行效率、正确性和健壮性等性能指标。
3、从开发过程级别看
（1）单元测试：又称模块测试，是针对软件设计的最小单位----程序模块或功能模块，进行正确性检验的测试工作。其目的在于检验程序各模块是否存在各种差错，是否能正确地实现了其功能，满足其性能和接口要求。
(2)集成测试：又叫组装测试或联合，是单元测试的多级扩展，是在单元测试的基础上进行的一种有序测试。旨在检验软件单元之间的接口关系，以期望通过测试发现各软件单元接口之间存在的问题，最终把经过测试的单元组成符合设计要求的软件。
（3）系统测试：是为判断系统是否符合要求而对集成的软、硬件系统进行的测试活动、它是将已经集成好的软件系统，作为基于整个计算机系统的一个元素，与计算机硬件、外设、某些支持软件、人员、数据等其他系统元素结合在一起，在实际运行环境下，对计算机系统进行一系列的组装测试和确认测试。
在系统测试中，对于具体的测试类型有：
（1）功能测试：对软件需求规格说明书中的功能需求逐项进行的测试，以验证功能是否满足要求。
（2）性能测试：对软件需求规格说明书的功能需求逐项进行的测试，以验证功能是否满足要求。
（3）接口测试：对软件需求规格说明中的接口需求逐项进行的测试。
（4）人机交互界面测试：对所有人机交互界面提供的操作和显示界面进行的测试，以检验是否满足用户的需求。
（5）强度测试：强制软件运行在异常乃至发生故障的情况下（设计的极限状态到超出极限），验证软件可以运行到何种程序的测试。
（6）余量测试：对软件是否达到规格说明中要求的余量的测试。
（7）安全性测试：检验软件中已存在的安全性、安全保密性措施是否有效的测试，
（8）可靠性测试：在真实的或仿真的环境中，为做出软件可靠性估计而对软件进行的功能（其输入覆盖和环境覆盖一般大于普通的功能测试）
（9）恢复性测试：对有恢复或重置功能的软件的每一类导致恢复或重置的情况，逐一进行的测试。
（10）边界测试：对软件处在边界或端点情况下运行状态的测试。
（11）数据处理测试：对完成专门数据处理功能所进行的测试。
（12）安装性测试：对安装过程是否符合安装规程的测试，以发现安装过程中的错误。
（13）容量测试：检验软件的能力最高能达到什么程度的测试。
（14）互操作性测试：为验证不同软件之间的互操作能力而进行的测试。
（15）敏感性测试：为发现在有效输入类中可能引起某种不稳定性或不正常处理的某些数据的组合而进行的测试。
（16）标准符合性测试：验证软件与相关国家标准或规范（如军用标准、国家标准、行业标准及国际标准）一致性的测试。
（17）兼容性测试：验证软件在规定条件下与若干个实体共同使用或实现数据格式转换时能满足有关要求能力的测试。
（18）中文本地化测试：验证软件在不降低原有能力的条件下，处理中文能力的测试。
4、从执行过程是否需要人工干预来看
（1）手工测试：就是测试人员按照事先为覆盖被测软件需求而编写的测试用例，根据测试大纲中所描述的测试步骤和方法，手工地一个一个地输 入执行，包括与被测软件进行交互（如输入测试数据、记录测试结果等），然后观察测试结果，看被测程序是否存在问题，或在执行过程中是否会有一场发生，属于比较原始但是必须执行的一个步骤。
（2）自动化测试：实际上是将大量的重复性的测试工作交给计算机去完成，通常是使用自动化测试工具来模拟手动测试步骤，执行用某种程序设计语言编写的过程（全自动测试就是指在自动测试过程中，不需要人工干预，由程序自动完成测试的全过程；半自动测试就是指在自动测试过程中，需要手动输入测试用例或选择测试路径，再由自动测试程序按照人工指定的要求完成自动测试）
5、从测试实施组织看
（1）开发测试：开发人员进行的测试
（2）用户测试：用户方进行的测试
（3）第三方测试：有别于开发人员或用户进行的测试，由专业的第三方承担的测试，目的是为了保证测试工作的客观性
6、从测试所处的环境看
（1）阿尔法测试：是由一个用户在开发环境下进行的测试，也可以是公司内部的用户在模拟实际操作环境下进行的测试
（2）贝塔测试：是用户公司组织各方面的典型终端用户在日常工作中实际使用贝塔版本，并要求用户报告
扩展资料
软件测试的内容：
1 得到需求、功能设计、内部设计说书和其他必要的文档
2 得到预算和进度要求
3 确定与项目有关的人员和他们的责任、对报告的要求、所需的标准和过程 ( 例如发行过程、变更过程、等等 )
4 确定应用软件的高风险范围，建立优先级、确定测试所涉及的范围和限制
5 确定测试的步骤和方法 ── 部件、集成、功能、系统、负载、可用性等各种测试
6 确定对测试环境的要求 ( 硬件、软件、通信等 )
7 确定所需的测试用具 (testware) ，包括记录 / 回放工具、覆盖分析、测试跟踪、问题 / 错误跟踪、等等
8 确定对测试的输入数据的要求
9 分配任务和任务负责人，以及所需的劳动力
10 设立大致的时间表、期限、和里程碑
11 确定输入环境的类别、边界值分析、错误类别
12 准备测试计划文件和对计划进行必要的回顾
13 准备白盒测试案例
14 对测试案例进行必要的回顾 / 调查 / 计划
15 准备测试环境和测试用具，得到必需的用户手册 / 参考文件 / 结构指南 / 安装指南，建立测试跟踪过程，建立日志和档案、建立或得到测试输入数据
16 得到并安装软件版本
17 进行测试
18 评估和报告结果
19 跟踪问题 / 错误，并解决它
20 如果有必要，重新进行测试
21 在整个生命周期里维护和修改测试计划、测试案例、测试环境、和测试用具
参考资料：百度百科-软件测试
「软件测试」如何进行APP安全性测试
一、前言
在SDK最近的项目中上线的包被第三方杀毒软件报出有病毒的问题，后来经过查验发现是SDK悬浮窗动画的逻辑被检验出有病毒，最后进行了修改。事情虽然解决了，但是引起该问题的一个原因是在测试中没有安全测试，而安全测试的标准，方法都没有。因此今天将之前工作中参与过的安全测试以及从网上查阅到有关安全测试的资料进行整理。有不足的之处，尽情谅解。
二、软件权限
1）扣费风险：浏览网页，下载，等情况下是否会扣费，一般在游戏APP，和社交APP等需要考虑这些。
2）隐私泄露风险。例如在我们安装APP应用时通常会看到"xx要读取手机通讯录"等提示，这些提示可以提示用户拒绝接受，这些是APP测试中的测试点。
3）校验input输入。对于APP有输入框的要对输入的信息进行校验，比如密码不能显示明文。在测试中红人馆注册时需要对input进行测试。
4）限制/允许使用手机功能接人互联网，收发信息，启动应用程序，手机拍照或者录音，读写用户数据。这个在通信行业用的比较多，比如展讯，高通等芯片厂商，他们在出厂芯片时要对手机各个功能进行测试。
三、代码安全性
之所以单独拿出来说，是因为在SDK测试过程中SDK代码被第三方工具检测出游病毒代码，这样一来就会影响输入法的使用。因此在后续测试中要尝试加入安全性测试。
四、安装与卸载安全性
1）应用程序应能正确安装到设备驱动程序上
2）能够在安装设备驱动程序上找到应用程序的相应图标。在SDK测试项目中发现有些设备受权限的问题，无法下发图标创建快链。
3）是否包含数字签名信息。在SDK测试项目中基本上没有，但是在输入法打包和主线版本上存在这样的测试。
4）安装路径应能指定
5）没有用户的允许应用程序不能预先设定自动启动
6）卸载是否安全，其安装进去的文件是否全部卸载
7）卸载用户使用过程中产生的文件是否有提示
8）其修改的配置信息是否复原
9）卸载是否影响其他软件的功能
10）卸载应该移除所有的文件
11）安装包的存放。在SDK下载安装包的测试中我们经常会看到下载下来的包后面有四个随机的字符串，这个的目的是为了防止第三方工具恶意删除安装包的问题。
在SDK测试项目中有专门针对下载安装卸载的用例，对安装的路径和下载的文件夹路径等有相关的测试，测试结果页表明，某些手机（例如华为mate1）在删除了某个下载路径文件夹之后受权限应用不会自动创建。
五、数据安全性
1)当将密码或其他的敏感数据输人到应用程序时，其不会被储存在设备中，同时密码也不会被解码
2)输人的密码将不以明文形式进行显示
3)密码，信用卡明细，或其他的敏感数据将不被储存在它们预输人的位置上
4)不同的应用程序的个人身份证或密码长度必需至少在4一8个数字长度之间
5)当应用程序处理信用卡明细，或其他的敏感数据时，不以明文形式将数据写到其它单独的文件或者临时文件中。以防止应用程序异常终止而又没有删除它的临时文件，文件可能遭受人侵者的袭击，然后读取这些数据信息。
6)当将敏感数据输人到应用程序时，其不会被储存在设备中
7)备份应该加密，恢复数据应考虑恢复过程的异常通讯中断等，数据恢复后再使用前应该经过校验
8)应用程序应考虑系统或者虚拟机器产生的用户提示信息或安全警告
9)应用程序不能忽略系统或者虚拟机器产生的用户提示信息或安全警告，更不能在安全警告显示前，利用显示误导信息欺骗用户，应用程序不应该模拟进行安全警告误导用户
10)在数据删除之前，应用程序应当通知用户或者应用程序提供一个"取消"命令的操作
11)"取消"命令操作能够按照设计要求实现其功能
12)应用程序应当能够处理当不允许应用软件连接到个人信息管理的情况
13)当进行读或写用户信息操作时， 应用程序将会向用户发送一个操作错误的提示信息
14)在没有用户明确许可的前提下不损坏删除个人信息管理应用程序中的任何内容
15)应用程序读和写数据正确。
16)应用程序应当有异常保护。
17)如果数据库中重要的数据正要被重写，应及时告知用户
18)能合理地处理出现的错误
19)意外情况下应提示用户
20)HTTP、HTTPS覆盖测试。在测试中我们经常会遇到与请求的加密解密测试，以确保产品的安全性
如何做好 App 的安全测试工作？
对于APP安全测试，我感觉是工欲善其事，必先利其器了。。跟据爱内测介绍，主要有以下三个方式：一、静态分析静态分析主要是利用apktool、dex2jar、jd-gui、smali2dex等静态分析工具对应用进行反编译，并对反编译后的java文件、xml文件等文件进行静态扫描分析，通过关键词搜索等静态方式将具有安全隐患的代码进行摘录并存入到检测平台后台，为后续的安全检测报告提供数据依据。二、动态分析动态分析技术是对应用软件安装、运行过程的行为监测和分析。检测的方式包括沙箱模型和虚拟机方式。沙箱模型方式通过建立安全的沙箱模型，使得移动应用的执行环境是封闭的一个沙箱，不受到沙箱外环境的干扰，结合传统PC机上的沙箱模型原理的分析和研究，得到合适于手机上的沙箱模型。虚拟机方式通过建立与Android手机终端软件运行环境几乎一样的虚拟执行环境，手机应用软件在其中独立运行，从外界观察应用程序的执行过程和动态，进而记录应用程序可能表现出来的恶意行为。三、人工分析人工分析技术是专业安全人员接收到用户提交的待检测应用后，先对其进行安装、运行和试用，通过在试用过程中，逐步掌握该应用的特点，并通过自己的专业经验，来圈定检测重点。人工专业检测在涵盖基础检测和深度检测的全部检测项的同时，兼顾侧重点检测，给予应用更全面、更专业、更贴合应用的量身打造的检测服务。希望对你有帮助！
软件安全测试有哪些方面
安全测试好像一直不太好界定，考虑账号安全、文件安全、数据安全、网络安全等
转载请注明出处51数据库 » 软件安全测试流程图 软件测试流程是什么
