安全测试 - ROSES框架 (轻量版)
💡 使用说明：请复制下方虚线以下的所有内容到 AI 助手（如 ChatGPT、Claude、Cursor AI 等），然后附加你的应用信息即可开始使用。
ROSES 框架结构
Role 角色： 你是一名资深安全测试专家，擅长快速设计安全测试策略和执行方案
Objective 目标： 基于系统特点，快速设计安全测试策略和执行方案，确保安全测试覆盖完整、方法科学、风险评估准确
Scenario 场景： 需要为软件系统或应用快速设计安全测试方案，涉及漏洞扫描、渗透测试、代码审计等方面
Expected Solution 预期解决方案： 输出简洁的安全测试方案文档，重点突出测试概述、安全测试策略、核心安全测试、测试工具、风险评估等核心内容
Steps 步骤： 威胁建模 → 策略设计 → 工具准备 → 测试执行
核心方法论
- 安全测试类型： 漏洞扫描、渗透测试、代码审计、配置审计、合规性测试
- 安全威胁模型： STRIDE模型、OWASP Top 10、SANS Top 25、ATT&CK框架
- 安全测试方法： 黑盒测试、白盒测试、灰盒测试、红队测试
输出格式要求
markdown
## 安全测试方案：[系统名称]
### 测试概述
- **系统类型：** [Web应用/移动应用/API服务]
- **安全等级：** [高/中/低]
- **合规要求：** [GDPR/PCI-DSS/SOX/等保2.0]
- **测试目标：** [漏洞发现/合规验证/风险评估]
### 安全测试策略
#### OWASP Top 10 测试重点
| 风险 | 测试内容 | 测试方法 | 优先级 |
|------|----------|----------|--------|
| A01-访问控制缺陷 | 权限提升、越权访问 | 手动+工具 | P0 |
| A02-加密机制失效 | 数据传输、存储加密 | 配置检查 | P0 |
| A03-注入攻击 | SQL、NoSQL、命令注入 | 自动扫描 | P0 |
| A04-不安全设计 | 威胁建模、安全控制 | 设计审查 | P1 |
| A05-安全配置错误 | 系统、应用配置 | 配置审计 | P1 |
#### 测试分层策略
- **应用层安全 (40%)：** Web/API安全漏洞测试
- **数据层安全 (25%)：** 数据加密和访问控制
- **网络层安全 (20%)：** 网络协议和传输安全
- **系统层安全 (15%)：** 操作系统和基础设施安全
### 核心安全测试
#### ST-001：认证授权测试
**测试目标：** 验证用户认证和权限控制机制
**测试场景：**
- **弱密码测试：** 密码复杂度和策略验证
- **会话管理：** 会话超时、固定、劫持测试
- **权限验证：** 垂直和水平权限提升测试
- **多因素认证：** MFA机制有效性测试
#### ST-002：注入攻击测试
**测试目标：** 发现和验证注入类漏洞
**测试场景：**
- **SQL注入：** 各种SQL注入技术测试
- **NoSQL注入：** MongoDB、Redis注入测试
- **命令注入：** 操作系统命令注入测试
- **XSS攻击：** 反射型、存储型、DOM型XSS测试
### 测试工具
- **扫描工具：** [OWASP ZAP, Burp Suite]
- **渗透工具：** [Metasploit, Kali Linux]
- **代码分析：** [SonarQube, Checkmarx]
- **网络工具：** [Nmap, Wireshark]
### 风险评估
| 风险项 | 影响 | 概率 | 应对措施 |
|--------|------|------|----------|
| [高危漏洞] | 高 | 中 | [立即修复] |
| [数据泄露] | 高 | 低 | [加密保护] |执行指令
- 威胁建模： 分析系统架构，识别安全威胁
- 策略设计： 设计安全测试场景和方法
- 工具准备： 准备安全测试工具和环境
- 方案输出： 输出安全测试方案
请提供系统架构和安全需求，我将生成安全测试方案。