软件测试视频教程之安全测试SecurityTesting（www.365cmd.com）

这门课讲什么

标题写的是安全测试，但落到具体内容，它属于软件测试体系里的一个专门分支：把安全测试当作测试流程的一部分来做，而不是单独拎出来的渗透攻防。这一点对做功能测试、接口测试的人比较友好——它假设你已经理解测试用例、缺陷跟踪、回归这套基本流程，直接切入到安全维度的测试设计。

课程围绕 Web 应用这类最常见的被测对象展开，涉及输入校验、身份认证与会话、权限控制、敏感数据暴露、常见注入类问题等测试点。讲法是"测试视角"：某类漏洞在测试阶段怎么发现、用什么手段验证、验证通过后怎么记录成可复现的缺陷单。而不是教你去写攻击工具。

技术栈与前置条件

要跟得动，需要的基础比较明确：

• HTTP 协议层面要熟，知道请求方法、状态码、Cookie 与 Header 各自的作用，否则抓包看流量会卡住。
• 会用浏览器开发者工具或一类代理抓包工具，能改包、重放、对比响应。
• 了解基本的 SQL 与后端交互方式，能在看到报错信息时判断问题出在哪一层。
• 如果做过接口测试，理解参数化、断言、环境变量这些概念，迁移过来几乎没有成本。

不要求你会写 Exploit，也不要求搭靶场之外的环境。课程里的验证动作大多在可视化的请求工具里完成，属于测试岗能直接上手的程度。

可以照着搭的复用点

这类视频资料的价值不在于"看完"，而在于能不能抽出可复用的东西。从内容结构看，至少有三块可以整理成自己的资产：

• 安全测试用例清单。把每个测试点转成一条可执行的用例，比如"修改请求中的用户 ID 观察是否越权返回他人数据"，配合预期结果和判定标准。这份清单可以直接挂到现有测试用例库里。
• 请求构造与回放脚本。同一个测试点往往要对多个接口重复执行，把参数替换、批量发送、结果比对写成脚本，后面接接口自动化时能直接复用。
• 缺陷描述模板。安全类缺陷和功能缺陷的写法不一样，复现步骤要能精确到具体请求，影响面要说清是数据泄露还是越权操作。模板攒下来，提缺陷单时省很多沟通成本。

建议边看边动手，把每节的验证过程在自己的测试环境里重跑一遍。只看不做的部分，过两周基本等于没学。

怎么安排学习节奏

安全测试的知识点之间依赖不强，但顺序上有讲究：先搞清楚被测系统的认证与授权模型，再去看具体的输入处理问题，会顺很多。因为很多看起来像注入的问题，实际根因在权限边界没划清。

比较实际的安排是：每看完一个测试点，立刻在项目里找一个类似功能试一遍。找不到合适的被测对象，就用公开的练习靶场。重点是形成"看到某个功能 → 反应出该测哪几条"的条件反射，这比记住漏洞名称有用得多。

如果时间紧，优先吃透认证、越权、输入校验这三块。它们覆盖了实际项目里出现频率最高的安全缺陷，也是面试时最容易被追问的部分。

适合谁，不适合谁

适合：已经做过功能或接口测试，想往测试左移、安全测试方向补一块能力的人；需要给现有测试流程加安全用例、但不想转去做专职渗透的人；准备软考或相关认证、需要系统性过一遍安全测试概念的人。

不太适合：已经有渗透测试经验、想找漏洞利用技巧和工具链进阶的人；完全没接触过 HTTP 和测试流程的零基础读者，前面会听得很吃力。

把它当成一份可以对照实践的参考资料，边看边在真实项目里落地几条用例，收获会比刷完视频大得多。