10 小时前 / 九彩拼盘
最近，一个做运维的朋友在学渗透测试。他说，他公司请别人做渗透测试的费用是 2w/ 人天，一共 2 周。2 周 10w 的收入，好香~ 于是，我也对渗透测试产生了兴趣。开始了探索之路~ 什么是渗透测试渗透测试这名字听起来有一种敬畏感，给人一种很难的感觉。渗透测试 (penetration test) 并没有一个标准的定义，一些安全组织达成共识的通用说法是： 渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。 简而言之：渗透测试就是测试软件的安全性。 渗透测试执行标准 [1] 介绍了做渗透测试的 7 个步骤： 测试前交互。
2 天前 / Thoughtworks
引子先来玩个视觉小游戏，请在下图中找到隐藏的五角星。 没找到的朋友，答案在文末。请看完答案再回到这里。 现在我们回看上图，是不是很容易就找到五角星，甚至第一眼就看到它了？ 知识诅咒“有些事知道了，就再也回不去了。”知识诅咒，指的就是一旦我们自己知道某样东西，就会发现我们很难想象不知道它的时候会是什么样子。 我们的知识“诅咒”了我们。 对于我们自己来说，同别人分享我们的知识变得很困难，因为我们不易重造听众的心境。
7 天前 / 老张
前言全链路压测从零开始系列的第一篇文章介绍了全链路压测的背景、定义、和传统压测的差异以及如何解决差异带来的不稳定性，落地要面临的挑战和完整的压测实践流程以及长期的能力建设演变，算是对全链路压测有了一个比较系统和全面的介绍。 本篇是系列的第二篇，从这篇文章开始，我会基于自己的个人落地实践经验，给大家分享从零开始落地全链路压测，要做哪些事情，以及这个过程中遇到的挑战、踩过的坑以及该如何解决这些问题。
30 天前 / u145168
作者：司文 就职于国内某股份制商业银行，担任“技术经理”一职。拥有 16 年以上的软件测试、开发和项目管理经验。 在金庸的武侠小说中，提到了「中国的六大门派」，分别有：武当、华山、峨眉、少林、昆仑和崆峒派。 测试行业也是如此，山头众多，帮派林立。每个帮派都有一定数量的弟子，以便代代相传，连绵不绝。 在测试行业呆了这么久，一直有一个困扰我的问题：大家是怎么做测试覆盖率的呢？ 大家都知道，测试覆盖率通常被用来衡量对某个系统测试的充分性和完整性。
31 天前 / 十三少
做事情就要把他的利益最大化。 当年我看《佣兵天下》的时候，感受最深的就是这句话。 测试过程的改进离不开引入测试工具。 而我们要想使引入测试工具的利益最大化，那么，不管组织的财力是财大气粗还是捉襟见肘，引入测试工具都不只是花钱那么简单。 要想使引入测试工具的利益最大化，通常需要大量的投入，需要我们制定一个覆盖选择、部署、实现和维护测试工具的各个方面的引入策略，以保证组织能够有效地利用引入的测试工具，提高测试团队的效率，改进整个测试团队的测试能力。 选择策略 测试工具的选择通常要考虑以下因素： 组织的投入。 开发环境。
35 天前 / 十三少
相较于功能测试，非功能性测试更加困难。 所以非功能性测试更应该做好以下几件事： 需求的定义和确认 非功能性需求很难像功能需求那样定义非常清楚。比如用户可能会要求“软件要好用”，但是通常却没有一个量化的指标来表征满足什么样的条件才叫“好用”。对于测试来说，如果没有一个量化的指标，它就很难完成这样需求的验证和确认。 所以，对于非功能性需求，在需求获取和定义的时候需要开发人员和测试人员付出更多的努力去挖掘出可以量化的指标。
42 天前 / 十三少
测试是软件开发过程中不可缺少的一环。因为通过测试可以发现软件潜在的缺陷，提高软交付软件的质量。 但是好的测试同时也意味着要有较高的投入，较高的成本。 所以，一个有效的测试策略就是将测试资源分配到最重要的部分。 基于风险的测试就是这样的有效的测试策略。 什么是基于风险的测试？ 基于风险的测试（Risk-Based Testing）就是通过在测试开始的时候，识别出项目风险和产品风险，并以此为依据来确定测试的优先级，安排测试资源，监控测试活动，最终给出测试结论的一种测试方法...
46 天前 / 闲鱼技术
用户为什么会卸载 APP《增长黑客》中提出一个公式：“转化 = 欲望 - 摩擦”，所有让用户感觉不舒服的地方，都会带来一定的“摩擦”，如果摩擦大于用户的使用欲望，用户就会离开。根据各大应用商店的研究表明，安装应用后的 30 天内，大部分用户会卸载 APP，平均只有不到 30% 的用户留存下来，导致用户离开的 top10 原因为：APP 功能对自己没用，不能满足期望太多的烦人推送 & 侵入式广告经常 Crash、卡顿或卡死包体积太大申请太多的授权耗流量、耗电、耗内存加载时间太长，对网速过度依赖有更好用的竞对 APP隐私问题易上瘾、套路多以上可归纳出...
53 天前 / 箜道
APP 安全威胁 在 App 项目中都会碰到三座 App 安全大山。App 客户端安全、数据传输安全、App 服务端安全。下面以分析检测的思路进行对 App 安全威胁的这三座大山进行一些剖析梳理总结。 工具介绍 静态分析工具: Apktool、dex2jar、jadx-gui、JEB、Androidkiller、GDA。 动态分析工具: DDMS、gdb、IDA、Drozer。 抓包分析工具: Fiddler、Wireshark、charles。 挂钩框架: frida、xposed。 其他工具: JDK、AndroidSDK、AndroidResEdit、uiautomatorviewer、010 editor、jarsigner。
53 天前 / 志军
背景在一次会议中，开发同学表达了希望能拿到执行修改 SIT 环境 MySQL schema 的修改权限。也就是不经过任何 review，都可以随意的在 SIT 环境执行任何的 SQL。 根本问题首先要说明下，SIT 环境是集成测试环境。n 大于 10。这个环境目前只允许通过自动化部署实现部署。UAT 环境和 PROD 环境都采用同样的方式部署。 接下来，我想说明我为什么反对开发人员随意在此环境上进行 Schema 的修改。我举一些常见的例子： SIT 环境的的 users 表中的 name 字段长度是 50，而 SIT 环境的是 100。
54 天前 / 老张
背景前几天微信群有个同学加我好友，向我咨询一些问题。他说，看到我在群里说了一段话：成年人，最重要的是获取知识的方式和思维逻辑，而不是只追求知识量的增加，提升增量，而不是存量。学习，永远是学习能快速变现的，对现在的工作生活能带来帮助的，而思维逻辑能力和学习能力的提升，需要长期坚持的刻意练习来习得。这句话出自李善友的《第一性原理》，我根据自己的理解在群里说了出来。 他说，感觉自己就处在那种低水平的思维模式，总是不能真正解决问题，现在不知道怎么突破到更高的思维模式，问我有什么建议？我和他聊了一些我自己的经历...
55 天前 / leveryd
问题背景测试某厂商的反弹 shell 检测安全能力 测试思路： 挑选测试样本每一种检测策略挑选对应的 1-3 个样本测试过程中如果某一类样本中的任意一个样本未通过测试，就不继续测试同类其他样本如果某一类样本完全被拦截，就尝试绕过测试时需要注意下面的点，可能会影响测试结果 反弹 shell 后，是否输入命令分析过程挑选测试样本按照安全项目 /HIDS/ 业务：入侵检测 / 反弹 shell/3.反弹 shell 检测。md 学习的检测策略，每一种检测策略挑选对应的 1-3 个样本。
59 天前 / 岛哥的质量效能笔记
阅读本文大约需要 1 分钟。点击小卡片，回复“合集”获取系统性的学习笔记和测试开发技能图谱 背景 首先让我们举几个业务上的常见问题，比如： 1、由于每次功能回归都不太可能把所有的用例都执行完，所以一般团队倾向于优先执行新功能的测试用例，老功能的用例如果没时间就不会执行，哪怕是有专门的人力写 UI 自动化脚本，也不太会覆盖所有的老功能回归用例，所以偶尔会发生由于某次变更导致 APP 某个不常使用的老页面发生崩溃或者 UI 展示有异常的问题； 2、由于用户的设备环境复杂多样，所以 APP 某个页面在不同机型上的表现很有可能发生不一致的现象...
60 天前 / 岛哥的质量效能笔记
阅读本文大约需要 3.1 分钟。 背景 接上一篇《Tcpdump 流量自动化测试上篇》讲到通过自动化的方式获取到 Pcap 文件，今天来讲讲怎么用 Wireshark 来自动分析统计 Pcap 包中指定的流量。 方案 Wireshark 不仅有图形化的界面，还提供了完备的命令行解析方式，今天我们不去讲解它的 GUI 工具怎么使用，毕竟我们的主题是自动化测试，当然是要看它的命令行工具怎么使用了。 安装好 Wireshark 之后，通过查看应用包内容，可以看到在 MacOS 目录下有很多命令，这些命令都是可以在命令行中执行的，在 Wireshark 图形界面中看到的大部分功能都可以用命令行实现...
61 天前 / cctester
前言通过搭建 jmeter+grafana+influxdb 的性能测试平台，解决了通过可视化面板实时观察压测过程中的各项性能指标数据。一般大家搭建这样的平台，都会选用官方提供的现有版面模板直接导入使用，它满足了大部分的基础需求。但是在团队真正的使用起来后，随着使用频率和使用人数的增加会发现些问题。 例如：多人同时进行压测如何在 grafana 面板中如何区出自己的压测信息；当一个脚本中有多个请求，如何查看每个请求的独立数据以及总事务数据等等，要达到实际使用的需求的信息展示，我们就需要对 jmeter 和 grafana 的配置进行些个性化配置调整...