全文预览已结束
下载本文档
版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
测试总结报告 第3页1 Web安全测试技术方案1.1 测试的目标l 更好的发现当前系统存在的可能的安全隐患,避免发生危害性的安全事件l 更好的为今后系统建设提供指导和有价值的意见及建议1.2 测试的范围本期测试服务范围包含如下各个系统:l Web系统: 1.3 测试的内容1.3.1 WEB应用针对网站及WEB系统的安全测试,我们将进行以下方面的测试: Web 服务器安全漏洞 Web 服务器错误配置 SQL 注入 XSS(跨站脚本) CRLF 注入 目录遍历 文件包含 输入验证 认证 逻辑错误 Google Hacking 密码保护区域猜测 字典攻击 特定的错误页面检测 脆弱权限的目录 危险的 HTTP 方法(如:PUT、DELETE)1.4 测试的流程方案制定部分:获取到客户的书面授权许可后,才进行安全测试的实施。并且将实施范围、方法、时间、人员等具体的方案与客户进行交流,并得到客户的认同。在测试实施之前,让客户对安全测试过程和风险知晓,使随后的正式测试流程都在客户的控制下。信息收集部分:这包括:操作系统类型指纹收集;网络拓扑结构分析;端口扫描和目标系统提供的服务识别等。采用商业和开源的检测工具(AWVS、burpsuite、Nmap等)进行收集。测试实施部分:在规避防火墙、入侵检测、防毒软件等安全产品监控的条件下进行:操作系统可检测到的漏洞测试、应用系统检测到的漏洞测试(如:Web应用),此阶段如果成功的话,可能获得普通权限。安全测试人员可能用到的测试手段有:扫描分析、溢出测试、口令爆破、社会工程学、客户端攻击、中间人攻击等,用于测试人员顺利完成工程。在获取到普通权限后,尝试由普通权限提升为管理员权限,获得对系统的完全控制权。此过程将循环进行,直到测试完成。最后由安全测试人员清除中间数据。分析报告输出:安全测试人员根据测试的过程结果编写直观的安全测试服务报告。内容包括:具体的操作步骤描述;响应分析以及最后的安全修复建议。下图是更为详细的步骤拆分示意图:1.5 测试的手段根据安全测试的实际需求,采取自动化测试与人工检测与审核相结合的方式,大大的减少了自动化测试过程中的误报问题。1.5.1 常用工具列表l 自动化扫描工具:AWVS、OWASP ZAP、Burpsuite等l 端口扫描、服务检测:Nmap、THC-Amap等l 密码、口令破解:Johntheripper、HASHCAT、Cain等l 漏洞利用工具:MetasploitFramework等l 应用缺陷分析工具:Burpsuite、Sqlmap等1.6 测试的风险规避在安全测试过程中,虽然我们会尽量避免做影响正常业务运行的操作,也会实施风险规避的计策,但是由于测试过程变化多端,安全测试服务仍然有可能对网络、系统运行造成一定不同程度的影响,严重的后果是可能造成服务停止,甚至是宕机。比如渗透人员实施系统权限提升操作时,突遇系统停电,再次重启时可能会出现系统无法启动的故障等。因此,我们会在安全测试前与客户详细讨论渗透方案,并采取如下多条策略来规避安全测试带来的风险:1.6.1 需要客户规避的风险 备份策略为防范安全测试过程中的异常问题,测试的目标系统需要事先做一个完整的数据备份,以便在问题发生后能及时恢复工作。对银行转帐、电信计费、电力调度等不可接受可能风险的系统的测试,可以采取对目标副本进行渗透的方式加以实施。这样就需要完整的复制目标系统的环境:硬件平台、操作系统、应用服务、程序软件、业务访问等;然后对该副本再进行安全测试。 应急策略测试过程中,如果目标系统出现无响应
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 培训流程课件
- 案例分析报告案例分析报告范文
- 第三方协议书
- 年高校专项计划自荐信范文
- 小学数学六年级上册期末卷含答案(综合题)
- 田园综合体开发项目风险评估报告
- 2024-2029年中国智能建筑系统行业市场现状分析及竞争格局与投资发展研究报告
- 2024-2029年中国无人机驱动的业务解决方案行业市场现状供需分析及市场深度研究发展前景及规划战略投资分析研究报告
- 2024-2029年中国智慧消防系统行业市场现状分析及竞争格局与投资发展研究报告
- 2024-2029年中国无菌海绵行业市场现状分析及竞争格局与投资发展研究报告
- 2024届广东省深圳宝安区高三冲刺卷二英语试题(含答案)
- 数智时代的商业变革智慧树知到期末考试答案章节答案2024年山东大学(威海)
- 2024-2030年中国儿童鞋行业发展趋势及发展前景研究报告
- 2024年湖南省校级联考高考压轴卷化学试卷含解析
- 上海市闵行区达标名校2024年中考历史模拟试题含解析
- JT-T-329-2010公路桥梁预应力钢绞线用锚具、夹具和连接器
- 江苏省南京市南京外国语校2023-2024学年中考押题语文预测卷含解析
- 《电力建设施工技术规范 第2部分:锅炉机组》DLT 5190.2
- 2024年陕西宝鸡先行电力(集团)有限责任公司招聘笔试参考题库含答案解析
- MOOC 管理咨询-暨南大学 中国大学慕课答案
- 2023年-2024年中级银行从业资格之中级公司信贷真题练习试卷B卷附答案
评论
0/150
提交评论