本文目录一览：
- 1、渗透测试应该怎么做呢？
- 2、如何在浏览器启用XSS筛选器
- 3、如何测试XSS漏洞？
- 4、跨站脚本攻击有哪些类型
- 5、如何测试XSS漏洞
- 6、各种功能测试点步骤
渗透测试应该怎么做呢？
01、信息收集
1、域名、IP、端口
域名信息查询：信息可用于后续渗透
IP信息查询：确认域名对应IP，确认IP是否真实，确认通信是否正常
端口信息查询：NMap扫描，确认开放端口
发现：一共开放两个端口，80为web访问端口，3389为windows远程登陆端口，嘿嘿嘿，试一下
发现：是Windows Server 2003系统，OK，到此为止。
2、指纹识别
其实就是网站的信息。比如通过可以访问的资源，如网站首页，查看源代码:
看看是否存在文件遍历的漏洞（如图片路径，再通过…/遍历文件）
是否使用了存在漏洞的框架（如果没有现成的就自己挖）
02、漏洞扫描
1、主机扫描
Nessus
经典主机漏扫工具，看看有没有CVE漏洞：
2、Web扫描
AWVS（Acunetix | Website Security Scanner）扫描器
PS：扫描器可能会对网站构成伤害，小心谨慎使用。
03、渗透测试
1、弱口令漏洞
漏洞描述
目标网站管理入口（或数据库等组件的外部连接）使用了容易被猜测的简单字符口令、或者是默认系统账号口令。
渗透测试
① 如果不存在验证码，则直接使用相对应的弱口令字典使用burpsuite 进行爆破
② 如果存在验证码，则看验证码是否存在绕过、以及看验证码是否容易识别
风险评级：高风险
安全建议
① 默认口令以及修改口令都应保证复杂度，比如：大小写字母与数字或特殊字符的组合，口令长度不小于8位等
② 定期检查和更换网站管理口令
2、文件下载（目录浏览）漏洞
漏洞描述
一些网站由于业务需求，可能提供文件查看或下载的功能，如果对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意的文件，可以是源代码文件、敏感文件等。
渗透测试
① 查找可能存在文件包含的漏洞点，比如js，css等页面代码路径
② 看看有没有文件上传访问的功能
③ 采用…/来测试能否夸目录访问文件
风险评级：高风险
安全建议
① 采用白名单机制限制服务器目录的访问，以及可以访问的文件类型(小心被绕过)
② 过滤【./】等特殊字符
③ 采用文件流的访问返回上传文件（如用户头像），不要通过真实的网站路径。
示例：tomcat，默认关闭路径浏览的功能：
param-namelistings/param-name
param-valuefalse/param-value
3、任意文件上传漏洞
漏洞描述
目标网站允许用户向网站直接上传文件，但未对所上传文件的类型和内容进行严格的过滤。
渗透测试
① 收集网站信息，判断使用的语言（PHP，ASP，JSP）
② 过滤规则绕过方法：文件上传绕过技巧
风险评级：高风险
安全建议
① 对上传文件做有效文件类型判断，采用白名单控制的方法，开放只允许上传的文件型式；
② 文件类型判断，应对上传文件的后缀、文件头、图片类的预览图等做检测来判断文件类型，同时注意重命名（Md5加密）上传文件的文件名避免攻击者利用WEB服务的缺陷构造畸形文件名实现攻击目的；
③ 禁止上传目录有执行权限；
④ 使用随机数改写文件名和文件路径，使得用户不能轻易访问自己上传的文件。
4、命令注入漏洞
漏洞描述
目标网站未对用户输入的字符进行特殊字符过滤或合法性校验，允许用户输入特殊语句，导致各种调用系统命令的web应用，会被攻击者通过命令拼接、绕过黑名单等方式，在服务端运行恶意的系统命令。
渗透测试
风险评级：高风险
安全建议
① 拒绝使用拼接语句的方式进行参数传递；
② 尽量使用白名单的方式（首选方式）；
③ 过滤危险方法、特殊字符，如：【|】【】【；】【’】【"】等
5、SQL注入漏洞
漏洞描述
目标网站未对用户输入的字符进行特殊字符过滤或合法性校验，允许用户输入特殊语句查询后台数据库相关信息
渗透测试
① 手动测试：判断是否存在SQL注入，判断是字符型还是数字型，是否需要盲注
② 工具测试：使用sqlmap等工具进行辅助测试
风险评级：高风险
安全建议
① 防范SQL注入攻击的最佳方式就是将查询的逻辑与其数据分隔，如Java的预处理，PHP的PDO
② 拒绝使用拼接SQL的方式
6、跨站脚本漏洞
漏洞描述
当应用程序的网页中包含不受信任的、未经恰当验证或转义的数据时，或者使用可以创建 HTML或JavaScript 的浏览器 API 更新现有的网页时，就会出现 XSS 缺陷。XSS 让攻击者能够在受害者的浏览器中执行脚本，并劫持用户会话、破坏网站或将用户重定向到恶意站点。
三种XSS漏洞：
① 存储型：用户输入的信息被持久化，并能够在页面显示的功能，都可能存在存储型XSS，例如用户留言、个人信息修改等。
② 反射型：URL参数需要在页面显示的功能都可能存在反射型跨站脚本攻击，例如站内搜索、查询功能。
③ DOM型：涉及DOM对象的页面程序，包括：document.URL、document.location、document.referrer、window.location等
渗透测试
存储型，反射型，DOM型
风险评级：高风险
安全建议
① 不信任用户提交的任何内容，对用户输入的内容，在后台都需要进行长度检查，并且对【】【】【"】【’】【】等字符做过滤
② 任何内容返回到页面显示之前都必须加以html编码，即将【】【】【"】【’】【】进行转义。
7、跨站请求伪造漏洞
漏洞描述
CSRF，全称为Cross-Site Request Forgery，跨站请求伪造，是一种网络攻击方式，它可以在用户毫不知情的情况下，以用户的名义伪造请求发送给被攻击站点，从而在未授权的情况下进行权限保护内的操作，如修改密码，转账等。
渗透测试
风险评级：中风险（如果相关业务极其重要，则为高风险）
安全建议
① 使用一次性令牌：用户登录后产生随机token并赋值给页面中的某个Hidden标签，提交表单时候，同时提交这个Hidden标签并验证，验证后重新产生新的token，并赋值给hidden标签；
② 适当场景添加验证码输入：每次的用户提交都需要用户在表单中填写一个图片上的随机字符串；
③ 请求头Referer效验，url请求是否前部匹配Http(s)😕/ServerHost
④ 关键信息输入确认提交信息的用户身份是否合法，比如修改密码一定要提供原密码输入
⑤ 用户自身可以通过在浏览其它站点前登出站点或者在浏览器会话结束后清理浏览器的cookie；
8、内部后台地址暴露
漏洞描述
一些仅被内部访问的地址，对外部暴露了，如：管理员登陆页面；系统监控页面；API接口描述页面等，这些会导致信息泄露，后台登陆等地址还可能被爆破。
渗透测试
① 通过常用的地址进行探测，如login.html，manager.html，api.html等；
② 可以借用burpsuite和常规页面地址字典，进行扫描探测
风险评级：中风险
安全建议
① 禁止外网访问后台地址
② 使用非常规路径（如对md5加密）
9、信息泄露漏洞
漏洞描述
① 备份信息泄露：目标网站未及时删除编辑器或者人员在编辑文件时，产生的临时文件，或者相关备份信息未及时删除导致信息泄露。
② 测试页面信息泄露：测试界面未及时删除，导致测试界面暴露，被他人访问。
③ 源码信息泄露：目标网站文件访问控制设置不当，WEB服务器开启源码下载功能，允许用户访问网站源码。
④ 错误信息泄露：目标网站WEB程序和服务器未屏蔽错误信息回显，页面含有CGI处理错误的代码级别的详细信息，例如SQL语句执行错误原因，PHP的错误行数等。
⑤ 接口信息泄露：目标网站接口访问控制不严，导致网站内部敏感信息泄露。
渗透测试
① 备份信息泄露、测试页面信息泄露、源码信息泄露，测试方法：使用字典，爆破相关目录，看是否存在相关敏感文件
② 错误信息泄露，测试方法：发送畸形的数据报文、非正常的报文进行探测，看是否对错误参数处理妥当。
③ 接口信息泄露漏洞，测试方法：使用爬虫或者扫描器爬取获取接口相关信息，看目标网站对接口权限是否合理
风险评级：一般为中风险，如果源码大量泄漏或大量客户敏感信息泄露。
安全建议
① 备份信息泄露漏洞：删除相关备份信息，做好权限控制
② 测试页面信息泄露漏洞：删除相关测试界面，做好权限控制
③ 源码信息泄露漏洞：做好权限控制
④ 错误信息泄露漏洞：将错误信息对用户透明化，在CGI处理错误后可以返回友好的提示语以及返回码。但是不可以提示用户出错的代码级别的详细原因
⑤ 接口信息泄露漏洞：对接口访问权限严格控制
10、失效的身份认证
漏洞描述
通常，通过错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌， 或者利用其它开发缺陷来暂时性或永久性冒充其他用户的身份。
渗透测试
① 在登陆前后观察，前端提交信息中，随机变化的数据，总有与当前已登陆用户进行绑定的会话唯一标识，常见如cookie
② 一般现在网站没有那种简单可破解的标识，但是如果是跨站认证，单点登录场景中，可能为了开发方便而简化了身份认证
风险评级：高风险
安全建议
① 使用强身份识别，不使用简单弱加密方式进行身份识别；
② 服务器端使用安全的会话管理器，在登录后生成高度复杂的新随机会话ID。会话ID不能在URL中，可以安全地存储，在登出、闲置超时后使其失效。
11、失效的访问控制
漏洞描述
未对通过身份验证的用户实施恰当的访问控制。攻击者可以利用这些缺陷访问未经授权的功能或数据，例如：访问其他用户的帐户、查看敏感文件、修改其他用户的数据、更改访问权限等。
渗透测试
① 登入后，通过burpsuite 抓取相关url 链接，获取到url 链接之后，在另一个浏览器打开相关链接，看能够通过另一个未登入的浏览器直接访问该功能点。
② 使用A用户登陆，然后在另一个浏览器使用B用户登陆，使用B访问A独有的功能，看能否访问。
风险评级：高风险
安全建议
① 除公有资源外，默认情况下拒绝访问非本人所有的私有资源；
② 对API和控制器的访问进行速率限制，以最大限度地降低自动化攻击工具的危害；
③ 当用户注销后，服务器上的Cookie，JWT等令牌应失效；
④ 对每一个业务请求，都进行权限校验。
12、安全配置错误
漏洞描述
应用程序缺少适当的安全加固，或者云服务的权限配置错误。
① 应用程序启用或安装了不必要的功能（例如：不必要的端口、服务、网页、帐户或权限）。
② 默认帐户的密码仍然可用且没有更改。
③ 错误处理机制向用户披露堆栈跟踪或其他大量错误信息。
④ 对于更新的系统，禁用或不安全地配置最新的安全功能。
⑤ 应用程序服务器、应用程序框架（如：Struts、Spring、ASP.NET）、库文件、数据库等没有进行相关安全配置。
渗透测试
先对应用指纹等进行信息搜集，然后针对搜集的信息，看相关应用默认配置是否有更改，是否有加固过；端口开放情况，是否开放了多余的端口；
风险评级：中风险
安全建议
搭建最小化平台，该平台不包含任何不必要的功能、组件、文档和示例。移除或不安装不适用的功能和框架。在所有环境中按照标准的加固流程进行正确安全配置。
13、使用含有已知漏洞的组件
漏洞描述
使用了不再支持或者过时的组件。这包括：OS、Web服务器、应用程序服务器、数据库管理系统（DBMS）、应用程序、API和所有的组件、运行环境和库。
渗透测试
① 根据前期信息搜集的信息，查看相关组件的版本，看是否使用了不在支持或者过时的组件。一般来说，信息搜集，可通过http返回头、相关错误信息、应用指纹、端口探测（Nmap）等手段搜集。
② Nmap等工具也可以用于获取操作系统版本信息
③ 通过CVE，CNVD等平台可以获取当前组件版本是否存在漏洞
风险评级：按照存在漏洞的组件的安全风险值判定当前风险。
安全建议
① 移除不使用的依赖、不需要的功能、组件、文件和文档；
② 仅从官方渠道安全的获取组件(尽量保证是最新版本)，并使用签名机制来降低组件被篡改或加入恶意漏洞的风险；
③ 监控那些不再维护或者不发布安全补丁的库和组件。如果不能打补丁，可以考虑部署虚拟补丁来监控、检测或保护。
详细学习可参考：
如何在浏览器启用XSS筛选器
工具：
浏览器
方法如下：
1、打开浏览器，在最上面菜单栏点击【工具】。
2、在工具弹出的下拉框中点击【Internal选项】。
3、在Internal属性中，选择【安全设置】，在安全设置中点下方【自定义级别】。
4、最后，在大约中间位置，点击启用XSS筛选器，确定即可。
如何测试XSS漏洞？
试试腾讯电脑管家修复漏洞
腾讯电脑管家会根据你的系统环境智能筛选，若是发现不适用于你的系统环境的漏洞补丁也会智能忽略，将因补丁引起问题的机率较到最低。而至于磁盘空间的占用你是不用担心的，补丁备份所占用的空间并不高，你可以在清理垃圾后选择深度清理，然后选择Windows Update或自动更新数据库文件进行清理。至于系统性能，则正常情况下基本上不受影响。
打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。
建议设置开启自动修复漏洞功能，开启后，电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用。开启方式如下：进入电脑管家“修复漏洞”模块—“设置”，点击开启自动修复漏洞即可。腾讯电脑管家，杀毒+管理2合1，还可以自动修复漏洞：第一时间发现并修复系统存在的高危漏洞，在不打扰您的情况下自动为系统打上漏洞补丁，轻轻松松将病毒木马拒之门外。
跨站脚本攻击有哪些类型
1、持久型跨站：最直接的危害类型，跨站代码存储在服务器（数据库）。
2、非持久型跨站：反射型跨站脚本漏洞，最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
3、DOM跨站（DOM XSS）:DOM(document object model文档对象模型)，客户端脚本处理逻辑导致的安全问题。
扩展资料：
跨站脚本攻击产生的原因是网站过于相信用户的输入，那么解决的办法也很直接，就是从根本上不相信用户的任何输入。一个安全的网站应当对任何用户的任何输入都要进行检查，特别是对用户提交到服务器中保存的数据，更要做筛选。
这种攻击与反射型攻击不同的是，它会把自己的攻击代码保存在网站的服务器上，这样，任何访问了这个页面的用户，都会受到这个攻击。
参考资料来源：
百度百科-跨站脚本攻击
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。
储存型XSS：
一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS：
一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：
常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
跨站脚本攻击(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS攻击分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。
各种功能测试点步骤
一.支付功能怎么测试？
1、从功能方面考虑：
1）、用户的使用场景：包括正常完成支付的流程；
支付中断后继续支付的流程；
支付中断后结束支付的流程；
单订单支付的流程；
多订单合并支付的流程；
余额不足；未绑定银行卡；密码错误；密码错误次数过多；找人代付；
弱网状态下，连续点击支付功能功能，会不会支付多次；分期付款等；
2）、不同终端上支付：
包括PC端的支付、笔记本电脑的支付、平板电脑的支付、手机端的支付等；
3）、不同的支付方式：银行卡网银支付、支付宝支付、微信支付等；
4）、从产品容错性上：包括支付失败后，能否再次支付、能否退款；
2、从性能方面考虑：
多个用户并发支付能否成功；
支付的响应时间；
3、从安全性方面考虑
使用Fiddler拦截订单信息，并修改订单金额，或者修改订单号，
(下两个订单A,B，付款时拦截订单B，并把订单B的订单号改为A订单的订单号)无法完成支付；
4、从用户体验方面考虑
是否支持快捷键功能；
点击付款按钮，是否有提示；
取消付款，是否有提示；
UI界面是否整洁；
输入框是否对齐，大小是否适中等。
5、兼容性
BS架构：不同浏览器测试。
APP：不同类型，不同分辨率，不同操作系统的手机上测试
二.购物车怎么测试？
1.功能测试
a）、未登录时：
将商品加入购物车，页面跳转到登录页面，登录成功后购物车数量增加。
b）、登录后：
所有链接是否跳转正确；
商品是否可以成功加入购物车；
购物车商品总数是否有限制；
商品总数统计是否正确；
全选功能是否可用；
删除功能是否可用；
价格总计是否正确；
商品文字太长时是否显示完整；
购物车中下架的商品是否有标识，是否还能支付；
新加入购物车商品排序（添加购物车中存在的店铺的商品和购物车中不存在的店铺的商品）；
是否支持快TAB、ENTER等快捷键；
商品删除后商品总数是否减少；
收藏功能是否可用；
购物车结算功能是否可用。
2.兼容性测试：
BS架构：不同浏览器测试，比如：IE，火狐，谷歌，360这些。
APP：在主流的不同类型，不同分辨率，不同操作系统的手机上测试，华为，vivo，oppo等
3.用户体验测试：
删除商品是否有提示；
是否支持快捷键功能；
是否有回到顶部的功能；
商品过多时结算按钮是否可以浮动显示；
购物车有多个商品时，能不能只对单个商品结算；
界面布局、排版是否合理；
文字是否显示清晰；
不同卖家的商品是否区分明显。
4.性能测试：
打开购物车页面要多长时间.
输入框怎么测试？
1、长度：例如输入框支持100字符， 那需要测试100字符、101字符，最大长度的显示是否正常；
2、哪些是支持的字符类型：数字、字母、汉字、字符！@！#、特殊字符；
3、是否支持换行；
4、字符串前后中带空格，前后的空格是否过滤， 中间的空格是否保留
5、全角半角的字母、数字
6、快捷键：能不能全选，部分选择，复制剪切粘贴是否可用，粘贴超过最大长度的字符串怎么显示，table键盘是否可用；
7、不同终端的兼容性
三.登陆功能怎么测试？
功能方面的测试：
1.输入正确的用户名和密码，点击提交按钮，验证是否能正确登录，能否能跳转到正确 的页面
2.输入错误的用户名, 验证登录失败，并且提示相应的错误信息
3.输入错误的密码, 验证登录失败，并且提示相应的错误信息
4.用户名为空, 验证登录失败，并且提示相应的错误信息
5.密码为空, 验证登录失败，并且提示相应的错误信息
6.用户名和密码都为空，点击登陆
7.用户名和密码前后有空格的处理
性能方面的测试
1.打开登录页面，需要多长时间
2.输入正确的用户名和密码后，登录成功跳转到新页面，需要多长时间.
安全性方面的测试
1.密码是否在前端加密，在网络传输的过程中是否加密
2.用户名和密码的输入框，能否防止SQL注入攻击
3.用户名和密码的输入框，能否防止XSS攻击
4.错误登陆的次数限制（防止暴力破解）
5.是否支持多用户在同一机器上登录
6.一个用户在不同终端上登陆
7.用户异地登陆
用户体验测试：
1.页面布局是否合理，输入框和按钮是否对齐
2.输入框的大小和按钮的长度，高度是否合理
3.是否可以全用键盘操作，是否有快捷键
4.输入用户名，密码后按回车，是否可以登陆
5. 牵扯到验证码的，还要考虑文字是否扭曲过度导致辨认难度大，考虑颜色（色盲使用者），刷新或换一个按钮是否好用
兼容性测试
BS架构：不同浏览器测试，比如：IE，火狐，谷歌，360这些。
APP：在主流的不同类型，不同分辨率，不同操作系统的手机上测试，华为，vivo，oppo等
四.支付功能怎么测试？
1、从功能方面考虑：
1）、用户的使用场景：包括正常完成支付的流程；
支付中断后继续支付的流程；
支付中断后结束支付的流程；
单订单支付的流程；
多订单合并支付的流程；
余额不足；未绑定银行卡；密码错误；密码错误次数过多；找人代付；
弱网状态下，连续点击支付功能功能，会不会支付多次；分期付款等；
2）、不同终端上支付：
包括PC端的支付、笔记本电脑的支付、平板电脑的支付、手机端的支付等；
3）、不同的支付方式：银行卡网银支付、支付宝支付、微信支付等；
4）、从产品容错性上：包括支付失败后，能否再次支付、能否退款；
2、从性能方面考虑：
多个用户并发支付能否成功；
支付的响应时间；
3、从安全性方面考虑
使用Fiddler拦截订单信息，并修改订单金额，或者修改订单号，
是否防止SQL注入，XSS攻击(跨站脚本攻击)。
4、从用户体验方面考虑
是否支持快捷键功能；
点击付款按钮，是否有提示；
取消付款，是否有提示；
UI界面是否整洁；
输入框是否对齐，大小是否适中等。
5、兼容性
BS架构：不同浏览器测试。
APP：不同类型，不同分辨率，不同操作系统的手机上测试 .
五.还款怎么测试？
功能上：
1.不同的还款方式：等额本息，等额本金还款，一次性还本付息。
2.逾期，提前还款和第三方还款。
3.不同账户的还款。
4.余额不足的还款，.
5.金额输入错误，不输入。
6.弱网状态下连续点击还款按钮或者系统不问题情况下，支付方未把支付结果返回给下单发起方。
从性能方面考虑：
还款的响应时间；
从安全性方面考虑：
是否防止SQL注入，XSS攻击(跨站脚本攻击)。
还款金额是否被拦截，还款密码等敏感信息是否加密。
从用户体验方面考虑
系统界面是否容易理解。
UI界面是否整洁；
输入框是否对齐，大小是否适中等。
兼容性：
BS架构：不同浏览器测试。
APP：不同类型，不同分辨率，不同操作系统的手机上测试 .
《附》
支付流程：
用户发送下单请求-平台后台查看订单并制作支付请求后将请求传给第三方（银行）-银行将支付的信息反馈给客户，客户核对后输入支付密码--银行成功划账后将支付成功信息告知给平台后台和用户--平台确认支付信息反馈给第三方并发货.
退款流程：
用户提交退款申请给平台，平台后台通过审核后将退款信息告知给第三方（银行），第三方将钱退到用户绑定的银行账户中并告知平台处理结果。平台确认结果后并结束用户退款申请。
六.电梯如何测试？
需求测试：
查看电梯使用说明书、安全说明书等
界面测试：
查看电梯外观
功能测试：
1.测试电梯能否实现正常的上升和下降功能。
2.电梯的按钮是否都可以使用。
3.电梯门的打开，关闭是否正常。
4.报警装置是否可用。
5.与其他电梯之间是否协作良好。
6.通风状况如何。
7.突然停电时的情况。
8.上升途中的响应。
1）电梯本来在1楼，如果有人按18楼，那么电梯在上升到5楼的时候，有人按了10楼，这时候是否会在10楼先停下来；
2）电梯下降到10层时显示满员，此时若8层有人等待电梯，是否在8层停。
可靠性：
1.门关上的一刹那出现障碍物。
2.同时按关门和开门按钮。
3.点击当前楼层号码。
4.多次点击同一楼层的号码等等。
5.同时按上键和下键会怎样。
易用性：
1.电梯的按钮的设计符合一般人使用的习惯吗．
负载/压力测试：
1.看电梯的最大限度的承受重量．在负载过重时是否有提醒。
2.在一时间内不断的让电梯上升，下降。
稳定性测试：
1.最大负载下平稳运行的最长时间。
文档测试：
1.使用手册是否对电梯的用法、限制、使用条件等有详细描述.