


下載本文檔
版權說明:本文檔由用戶提供并上傳,收益歸屬內容提供方,若內容存在侵權,請進行舉報或認領
文檔簡介
1、1 Web安全測試技術方案1.1 測試的目標l 更好的發現當前系統存在的可能的安全隱患,避免發生危害性的安全事件l 更好的為今后系統建設提供指導和有價值的意見及建議1.2 測試的范圍本期測試服務范圍包含如下各個系統:l Web系統: 1.3 測試的內容1.3.1 WEB應用針對網站及WEB系統的安全測試,我們將進行以下方面的測試:þ Web 服務器安全漏洞þ Web 服務器錯誤配置þ SQL 注入þ XSS(跨站腳本)þ CRLF 注入þ 目錄遍歷þ 文件包含þ 輸入驗證þ 認證þ 邏輯錯誤
2、254; Google Hackingþ 密碼保護區域猜測þ 字典攻擊þ 特定的錯誤頁面檢測þ 脆弱權限的目錄þ 危險的 HTTP 方法(如:PUT、DELETE)1.4 測試的流程方案制定部分:獲取到客戶的書面授權許可后,才進行安全測試的實施。并且將實施范圍、方法、時間、人員等具體的方案與客戶進行交流,并得到客戶的認同。在測試實施之前,讓客戶對安全測試過程和風險知曉,使隨后的正式測試流程都在客戶的控制下。信息收集部分:這包括:操作系統類型指紋收集;網絡拓撲結構分析;端口掃描和目標系統提供的服務識別等。采用商業和開源的檢測工具(AWVS、bur
3、psuite、Nmap等)進行收集。測試實施部分:在規避防火墻、入侵檢測、防毒軟件等安全產品監控的條件下進行:操作系統可檢測到的漏洞測試、應用系統檢測到的漏洞測試(如:Web應用),此階段如果成功的話,可能獲得普通權限。安全測試人員可能用到的測試手段有:掃描分析、溢出測試、口令爆破、社會工程學、客戶端攻擊、中間人攻擊等,用于測試人員順利完成工程。在獲取到普通權限后,嘗試由普通權限提升為管理員權限,獲得對系統的完全控制權。此過程將循環進行,直到測試完成。最后由安全測試人員清除中間數據。分析報告輸出:安全測試人員根據測試的過程結果編寫直觀的安全測試服務報告。內容包括:具體的操作步驟描述;響應分析以
4、及最后的安全修復建議。下圖是更為詳細的步驟拆分示意圖:1.5 測試的手段根據安全測試的實際需求,采取自動化測試與人工檢測與審核相結合的方式,大大的減少了自動化測試過程中的誤報問題。1.5.1 常用工具列表l 自動化掃描工具:AWVS、OWASP ZAP、Burpsuite等l 端口掃描、服務檢測:Nmap、THC-Amap等l 密碼、口令破解:Johntheripper、HASHCAT、Cain等l 漏洞利用工具:MetasploitFramework等l 應用缺陷分析工具:Burpsuite、Sqlmap等1.6 測試的風險規避在安全測試過程中,雖然我們會盡量避免做影響正常業務運行的操作,也
5、會實施風險規避的計策,但是由于測試過程變化多端,安全測試服務仍然有可能對網絡、系統運行造成一定不同程度的影響,嚴重的后果是可能造成服務停止,甚至是宕機。比如滲透人員實施系統權限提升操作時,突遇系統停電,再次重啟時可能會出現系統無法啟動的故障等。因此,我們會在安全測試前與客戶詳細討論滲透方案,并采取如下多條策略來規避安全測試帶來的風險:1.6.1 需要客戶規避的風險 備份策略為防范安全測試過程中的異常問題,測試的目標系統需要事先做一個完整的數據備份,以便在問題發生后能及時恢復工作。對銀行轉帳、電信計費、電力調度等不可接受可能風險的系統的測試,可以采取對目標副本進行滲透的方式加以實施。這樣就需要完整的復制目標系統的環境:硬件平臺、操作系統、應用服務、程序軟件、業務訪問等;然后對該副本再進行安全測試。 應急策略測試過程中,如果目標系統出
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯系上傳者。文件的所有權益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網頁內容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
- 4. 未經權益所有人同意不得將文件中的內容挪作商業或盈利用途。
- 5. 人人文庫網僅提供信息存儲空間,僅對用戶上傳內容的表現方式做保護處理,對用戶上傳分享的文檔內容本身不做任何修改或編輯,并不能對任何下載內容負責。
- 6. 下載文件中如有侵權或不適當內容,請與我們聯系,我們立即糾正。
- 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。
最新文檔
- 道路轉換協議書
- 租房合同水電費協議書
- 資產頂賬協議書
- 砂場拆遷協議書
- 綠化肥料協議書
- 給女兒寫協議書
- 挖掘機買賣合同協議書
- 自動退休協議書
- 藥材開挖協議書
- 酒店供銷協議書
- 國際學生評估項目PISA 2006學生問卷
- (高清版)DZT 0130.9-2006 地質礦產實驗室測試質量管理規范 第9部分:巖石礦物樣品鑒定
- (高清版)TDT 1038-2013 土地整治項目設計報告編制規程
- 危化品運輸安全責任劃分與追究的標準與程序
- 護理質控課件
- 空調維保服務方案(技術方案)
- TSM0501G 豐田試驗測試標準
- 實驗室安全準入考試題庫答案
- 機械加工圖紙標注法資料
- HDB3編解碼電路設計
- 體系文件編號規則
評論
0/150
提交評論