XX网站安全测试方案

XX 检测计检测计划划 作者 版本 时间 海关门户网站安全测试方案 目录目录 一 检测背景 3 二 检测目标 3 三 检测方案 3 1 方案概况 3 2 配合要求 3 3 检测流程 3 4 检测对象 4 5 检测周期 5 四 风险声明 5 1 操作系统和常见应用漏洞扫描 5 2 WEB 应用漏洞扫描 6 海关门户网站安全测试方案 Comment k1 测试的目的 外在环境 Comment k2 检测的目标 依据 Comment k3 具体的测试计划 Comment k4 测试过程 工作 方 法 这部分可以按照具体项目更改 海关门户网站安全测试方案 检测检测背景背景 检测检测目目标标 检测检测方案方案 1 方案概况方案概况 方案概况方案概况 预计检测时间 预计检测地点 预计检测人员 预计检测范围 预计检测内容 预计检测方法 预计检测工具 预计检测标准 2 配合要求配合要求 人员配合要求 提供的资料文档 提供的现场环境和条件 3 检测检测流程流程 信息收集 信息收集 此阶段中 渗透检测小组进行必要的信息收集 通过 现场访谈确定检测时间 检测方式 检测地点 注意事项等 通过互联 Comment k5 被测的系统 海关门户网站安全测试方案 网搜集 获取 IP 地址 DNS 域名 应用系统 软硬件环境等 初步 完成分析网络拓扑 操作系统 数据库版本等相关环境的目标 渗透渗透检测检测 此阶段中 渗透检测小组根据信息收集阶段分析的信 息 从互联网模拟黑客攻击方式 对外部网络 系统进行渗透检测 此 阶段如果发现问题 进行收集证据 简单利用漏洞获取非敏感信息 证明漏洞可用 如果未发现问题则渗透检测结束 本次测试将大量使用自动化检测设备进行测试 主要针对网站安 全性 网站敏感字 网页暗链进行检测 输输出出报报告 告 此阶段中 渗透检测小组根据检测的结果编写直观的 渗透检测服务报告 4 检测对检测对象象 对 XX 进行安全检测和渗透检测的范围 序号 名称域名 IP 地 址 备注 1 2 3 4 Comment k6 将要说明的地方写在 这里 海关门户网站安全测试方案 5 检测检测周期周期 编号阶段名工作内容 最早启动时间最早结束时间最晚启动时间 最晚结束时间最长天数 风险风险声明声明 1 操作系操作系统统和常和常见应见应用漏洞用漏洞扫扫描描 在使用扫描器对目标系统扫描的过程中 可能会出现以下的风险 占用带宽 风险不高 进程 系统崩溃 由于目标系统的多样性及脆弱性 或是目标 系统上某些特殊服务本身存在的缺陷 对扫描器发送的探测包或 者渗透测试工具发出的测试数据不能正常响应 可能会出现系统 崩溃或程序进程的崩溃 登录界面锁死 扫描器可以对某些常用应用程序 系统登录 FTP Telnet SNMP SSH WEBLOGIC 的登录口令进行弱口令 猜测验证 如果目标系统对登录失败次数进行了限制 尝试登录 次数超过限定次数系统可能会锁死登录界面 风险规避方法 根据目标系统的网络 应用状况 调整扫描测试时间段 采取 避峰扫描 对扫描器扫描策略进行配置 适当调整扫描器的并发任务数和 扫描的强度 可使减少扫描器工作时占用的带宽 降低对目标系 统影响 根据目标系统及目标系统上运行的应用程序 通过与测评委托 海关门户网站安全测试方案 方相关人员协商 定制针对本系统测试的扫描插件 端口等配置 尽量合理设置扫描强度 降低目标系统或进程崩溃的风险 如目标系统对登录某些相关程序的尝试次数进行了限制 在进 行扫描时 可屏蔽暴力猜解功能 以避免登录界面锁死的情况发 生 2 WEB 应应用漏洞用漏洞扫扫描描 在使用 WEB 应用漏洞扫描器对目标系统扫描的过程中 可能会存在 以下的风险 占用带宽 风险不高 登录界面锁死 WEB 应用漏洞扫描会对登录页面进行弱口令 猜测 猜测过程可能会造成应用系统某些帐号锁死 风险规避方法 根据目标系统