计算机技术与软件《中级软件评测师（下午卷）》模拟试卷四

1

阅读下列C程序，回答问题1至问题3
【C程序】题目图片

问题1：
请针对上述C程序给出满足100%DC（判定覆盖）所需的逻辑条件。
问题2：
请画出上述程序的控制流图，并计算其控制流图的环路复杂度V(G)。
问题3：
请给出问题2中控制流图的线性无关路径。

2

阅读下列说明，回答下列问题。
[说明]
某商店的货品价格(P)都不大于20元(且为整数)，假设顾客每次付款为20元且每次限购一件商品，现有一个软件能在每位顾客购物后给出找零钱的组合(找给顾客货币张数最少)。
假定此商店的找零货币面值只包括：10元(N10)、5元(N5)、1元(N1)3种。
问题1、请采用等价类划分法为该软件设计测试用例(不考虑P为非整数的情况)并填入到下表中。题目图片

表示2张1元，若无输出或输出非法，则填N/A.
题目图片

问题2、请采用边界值分析法为该软件设计测试用例。
问题3、请给出采用决策表法进行测试用例设计的主要步骤。

参考答案问题1： <img src="https://img.huikao8.com/huixue_img/importSubject/1534811410675142656.png" alt="题目图片" style="max-width:100%;height:auto;vertical-align:middle;"> 问题2：0、1、4、5、6、9、10、11、14、15、16、19、20、21 问题3：（1）确定规则的个数：假如有n个条件，每个条件有两个取值（0,1），则有2的n次方种规则。（2）列出所有的条件桩和动作桩。（3）填入条件项。（4）填入动作项：制定初始判定表。（5）简化：合并相似规则（相同动作）。

解析：问题1：本小题考查黑盒测试用例设计中的等价类划分法。等价类划分法：把程序的输入域划分成若干部分（子集），然后从每个部分中选取少数代表性数据作为测试用例。每一类的代表性数据在测试中的作用等价于这一类中的其他值。本题中主要范围限制为题目图片

，即可以划分为两个无效类和一个有效等价类，但由于每一个小的等价类是单独处理的，因此需要再进一步的划分。找零的货币为10、5、1的面额，因此可以分为：0，1~4，5，6~9，10，11~14，15，16~19，20，21划分等价类的6条原则：（1）在输入条件规定了取值范围或值的个数的情况下，可以确立一个有效等价类和两个无效等价类；（2）在输入条件规定了输入值的集合或者规定了必须如何的条件的情况下，可以确立一个有效等价类和一个无效等价类；（3）在输入条件是一个布尔量的情况下，可确定一个有效等价类和一个无效等价类；（4）在规定了输入数据的一组值（假定n个），并且程序要对每一个输入值分别处理的情况下，可确立n个有效等价类和一个无效等价类；（5）在规定了输入数据必须遵守的规则的情况下，可确立一个有效等价类（符合规则）和若干个无效等价类（从不同角度违反规则）；（6）在确知已划分的等价类中，各元素在程序处理中的方式不同的情况下，则再将该等价类进一步地划分为更小的等价类；
问题2：本小题考查黑盒测试用例设计中的边界值分析法。边界值分析法：对输入或输出的边界值进行测试的一种黑盒测试方法。通常边界值分析法是作为对等价类划分法的补充，这种情况下，其测试用例来自等价类的边界。边界值设计测试用例，应遵循的原则：（1）如果输入条件规定了值得范围，则应取刚达到这个范围的边界值，以及刚刚超过这个范围边界的值作为测试输入数据；（2）如果输入条件规定了值得个数，则用最大个数、最小个数、比最小个数少、比最大个数多1的数作为测试数据；（3）根据规格说明的每个输出条件，使用前面的原则（1）；（4）根据规格说明的每个输出条件，应用前面的原则（2）；（5）如果程序的规格说明给出的输入域或输出域是有序集合，则应选取集合的第一个元素和最后一个元素作为测试用例；（6）如果程序中使用了一个内部数据结构，则应当选择这个内部数据结构边界上的值作为测试用例；（7）分析规格说明，找出其他可能的边界条件；依据边界值设计测试用例的原则，测试用例应选择：0、1、4、5、6、9、10、11、14、15、16、19、20、21
问题3：本小题考查黑盒测试用例的设计方法中的决策表法。决策表法：决策表又称判定表，是分析和表达多逻辑条件下执行不同操作的情况的工具。决策表是一种呈表格状的图形工具，适用于描述处理判断条件较多，各条件又相互组合、有多种决策方案的情况。精确而简洁描述复杂逻辑的方式，将多个条件与这些条件满足后要执行动作相对应。能够将复杂的问题按照各种可能的情况全部列举出来，简明并避免遗漏。因此，利用判定表能够设计出完整的测试用例集合。

3

阅读下列说明，回答下列问题。
[说明]
某大型匹萨加工和销售商为了有效管理匹萨的生产和销售情况，欲开发一套基于Web的信息系统。其主要功能为销售、生产控制、采购、运送、存储和财务管理等。系统采用Java EE平台开发，页面中采用表单实现数据的提交与交互，使用图形(Graphics)以提升展示效果。
问题1：设计两个表单项输入测试用例，以测试XSS(跨站点脚本)攻击。系统设计时可以采用哪些技术手段防止此类攻击。
问题2：简述图形测试的主要检查点。
问题3：简述页面测试的主要方面。
问题4：系统实现时，对销售订单的更新所用的SQL语句如下：PreparedStatementpStmt＝connection.prepareStatement("UPDATESalesOrderSETstatus＝?WHEREOrderID＝?")
然后通过setString(...)；的方式设置参数值后加以执行。
设计测试用例以测试SQL注入，并说明该实现是否能防止SOL注入。

4

阅读下列说明，回答问题。
【说明】
某企业最近上线了ERP系统，该系统运行的网络环境如图所示。企业信息中心目前拟对该系统相关安全防护体系进行全面的安全性测试，以提供全面的安全测评报告。
题目图片

问题1：企业ERP系统上线后，企业主要业务的日常运作都高度依赖该系统的正常运行，因此ERP系统的稳定性与可靠性对企业至关重要。故障恢复与容灾备份措施是提高系统稳定性与可靠性的重要因素。对于故障恢复与容灾备份措施，参与测试的王工认为应从故障恢复、数据备份和容灾备份等三个方面进行测试。请用300字以内文字，对这三方面的测试内容进行简要说明。
问题2：数据库服务器中目前主要存储ERP系统业务数据，后续还需要存储企业网站相关数据，当前ERP系统的用户认证方式包含口令认证方式，相应的用户权限和口令也存储在数据库二维表中。针对上述实际情况，参与测试的李工认为在对数据库权限进行测试时，除数据库账号保护及权限设置相关的常规测试外，还必须对敏感数据加密保护及对数据库访问方式进行相应测试。请用200字以内文字，对敏感数据加密保护和数据库访问方式两个方面的测试内容进行简要说明。
问题3：为对抗来自外网或内网的主动攻击，系统通常会采用多种安全防护策略，请给出四种常见的安全防护策略并进行简要解释。结合一种在图中明确标识出的安全防护策略机制，说明针对该机制的安全测试应包含哪些基本测试点。

参考答案问题1：对于故障恢复与容灾备份措施，应从以下三个方面进行测试： ①故障恢复：测试整个ERP系统是否存在单点故障；任何一台设备失效时，能否按照预定义的规则实现快速切换；是否采用磁盘镜像技术，实现主机系统到磁盘系统的高速连接。 ②数据备份：ERP系统关键业务是否具备必要的双机热备或磁盘镜像等热备份机制；对于整个ERP业务，是否提供外部存储器备份和恢复机制，保证系统能够根据备份策略恢复到指定时间的状态。 ③容灾备份：ERP系统是否建立异地容灾备份中心，当主中心发生灾难性事件时，可由备份中心接管所有业务；备份中心是否有足够的带宽确保与主中心的数据同步，是否有足够处理能力来接管主中心的业务，能否确保快速可靠地与主中心的应用切换。 敏感数据加密保护和数据库访问方式的测试内容为： ①敏感数据的加密保护：由于ERP系统的用户权限和口令存储在数据库中，因此需要测试相应敏感数据是否采用加密算法进行加密保护。 ②数据库访问方式测试：是否为不同应用系统或业务设置不同的专门用户用于数据库访问，应杜绝在代码中使用超级用户及默认密码对数据库进行访问。 问题2:安全防护策略是软件系统对抗攻击的主要手段，常见的安全防护策略有以下四种： ①安全日志：安全曰志用于记录非法用户的登录名称、操作时间及内容等信息，以便发现问题并提出解决措施；安全日志仅记录相关信息，不对非法行为做出主动反应，属于被动防护的策略； ②入侵检测系统：入侵检测系统是一种主动的网络安全防护措施，从系统内部或各种网络资源中主动采集信息，从中分析可能的网络入侵或攻击，通常入侵检测系统还应对入侵行为做出紧急响应； ③漏洞扫描：漏洞扫描是对软件系统及网络系统进行与安全相关的检测，以找出安全隐患和可被黑客利用的漏洞； ④隔离防护：隔离防护是将系统中的安全部分与非安全部分进行隔离的措施，主要的技术手段有防火墙和隔离网闸等，其中防火墙主要用于内网和外网的逻辑隔离，而网闸则主要用于实现内网和外网的物理隔离。 问题3：图中明确标识出的安全防护策略机制为防火墙和入侵检测系统。(可选择防火墙或入侵检测系统中的任一机制描述相应安全测试的测试点) 针对防火墙的测试点： (1)是否支持交换和路由两种工作模式； (2)是否支持对FTP、HTTP、SMTP等服务类型的访问控制； (3)是否考虑防火墙的冗余设计； (4)是否支持对日志的统计分析功能，日志是否可存储在本地或网络数据库中； (5)对防火墙或受保护内网的非法攻击，是否提供多种告警方式和多种级别的告警。 针对入侵检测系统的测试点： ①能否在检测到入侵事件时，自动执行切断服务、记录入侵过程、报警等动作； ②是否支持攻击特征信息的集中式发布和攻击取证信息的分布式上载； ③能否提供多种方式对监视引擎和检测特征进行定期更新； ④内置的网络能否使用状态监控工具或网络监听工具。

解析：软件系统的安全性是信息安全的一个重要组成部分，针对程序和数据的安全性测试与评估是软件安全性测试的重要内容，本题考查软件安全性测试的相关知识。
（1）本问题考查故障恢复与容灾备份措施测试内容。
针对故障恢复与容灾备份措施的安全性测试一般包括故障恢复、数据备份与容灾备份三个测试点，其包含的基本测试内容为：
①故障恢复：整个系统是否存在单点故障；对于关键应用系统，当任何一台设备失效时，能否按照预定义的规则实现快速切换；是否采用磁盘镜像技术，实现主机系统到磁盘系统的高速连接；
②数据备份：对于关键业务，是否具备必要的双机热备或磁盘镜像等热备份机制；对于所有业务，是否提供外部存储器备份和恢复机制，保证系统能够根据备份策略恢复到指定时间的状态；
③容灾备份：是否建立异地容灾备份中心，当主中心发生灾难性事件时，可由备份中心接管所有业务；备份中心是否有足够的带宽确保与主中心的数据同步，是否有足够处理能力来接管主中心的业务，能否确保快速可靠地与主中心的应用切换。
（2）本问题考查考生对数据库权限测试内容的理解。
根据本题说明，ERP系统的用户权限和口令信息存储在数据库中，因此需要测试相应敏感数据是否采用加密算法进行加密保护：而数据库中还需要存储ERP系统之外的其他系统业务数据，因此应为不同应用系统或业务设置不同的专门用户用于数据库访问，且应杜绝在代码中使用超级用户及默认密码对数据库进行访问。
（3）本问题考查基本的安全防护策略的相关知识。
安全防护策略是软件系统对抗来自外网或内网的主动攻击的主要手段，常见的安全防护策略包括安全日志、入侵检测、隔离防护与漏洞扫描等，本题首先要求考生对常见安全防护策略的有基本的理解，了解其基本原理与主要措施。
图中明确标识出的安全防护策略机制为防火墙和入侵检测系统，考生可自主选择其中一种，描述对其进行安全性测试时需要完成的测试点。

5

阅读以下说明，回答下列问题。
[说明]现代软件的飞速发展，使得系统对软件的依赖越来越强，对软件可靠性的要求也越来越来高，因此发展以发现软件可靠性缺陷为目的的可靠性测试技术也日益迫切。
问题1：一个完整的软件可行性测试如图5－1所示。
题目图片

请写出图中(1)～(5)。
问题2：解释说明软件可靠性测试的目的，并说明狭义和广义软件可靠性测试的区别。
问题3：可靠性目标是指客户对软件性能满意程度的期望。通常采用失效严重程度、可靠度、故障强度、平均无故障时间等指标来描述。请分别解释其含义。

参考答案详见解析

解析：问题1：一个完整的软件可行性测试如图5－2所示。
题目图片

(1)确定可靠性目标 (2)可靠性数据 (3)分析可靠性的因素 (4)可靠性模型 (5)可靠性评价
问题2：可靠性测试的目的可归纳为以下三个方面：
①发现软件系统在需求、设计、编码、测试、实施等方面的各种缺陷。
②为软件的使用和维护提供可靠性数据。
③确认软件是否达到可靠性的定量要求。
问题3：
广义的软件可靠性测试是指为了每终评价软件系统的可靠性而运用建模、统计、试验、分析、评价等一系列手段对软件系统实施的一种测试。
狭义的软件可靠性测试是指为了获取可靠性数据，按预先确定的测试用例，在软件的预期使用环境中，对软件实施的一种测试。狭义的软件可靠性测试也叫"较件可靠性试验(sottwan: reliability test)"，它是面向缺陷的测试，以用户将要使用的方式来测试软件，每一次测试代表用户将要完成的一组操作，使测试成为最终产品使用的预演。这就使得所获得的测试数据与软件的宴际运行数据比较接近，可用于软件可靠性评价。
失效严重程度类就是对用户具有相同程度影响的失效集合。
可靠度就是软件系统在规定的条件下，规定的时间内不发生失效的概率。
故障强度是指：以单位运转时间的软件故障停机小时表示停机时间的长短，其表式为：软件故障强度率＝100%*软件故障停机小时/软件实际运转时间。
平均无故障时间(MTTF)：全称是Mean Time To Failure，即平均失效时间。系统平均能够正常运行多长时间，才发生一次故障。系统的可靠性越高，平均无故障时间越长。

计算机技术与软件《中级软件评测师（下午卷）》模拟试卷四

一、问答题

输入阅读码