信息安全技術交流滲透測試深圳市網安計算機安全檢測技術有限公司深圳市網安計算機安全檢測技術有限公司深圳市網安計算機安全檢測技術有限公司

一、關于滲透測試

二、滲透測試常見WEB漏洞

三、部分滲透測試工具介紹

四、安全漏洞風險等級定義五、常見攻擊及防御主講內容深圳市網安計算機安全檢測技術有限公司安全檢測主要有以下幾種方式：滲透測試、審計和評估。現實中，單一的檢測方式可能無法達到預期的效果。在檢測系統安全的時候，通常根據不同的階段和環境選擇合適的測試方式。滲透測試為最直接的檢測方式，可以為安全防御提供最有價值的信息。滲透測試的結果不僅是要評估目標系統或者網絡的安全性，還要決定成功攻擊的可行性和風險等級。什么是滲透測試深圳市網安計算機安全檢測技術有限公司滲透測試（PenetrationTest）是指安全滲透測試者盡可能完整地模擬黑客使用的漏洞發現技術和攻擊手段，對目標網絡/主機/數據庫/應用的安全性作深入的探測，發現系統最脆弱的環節的過程。目前，安全業界比較流行的開源滲透測試方法體系標準包括以下幾個。安全測試方法學開源手冊（OSSTMM）NISTSP800-42網絡安全測試指南（NIST）OWASP十大Web應用安全威脅項目（OWASPTop10）Web安全威脅分類標準（WASC-TC）PTES滲透測試執行標準（PTES）滲透測試標準流程深圳市網安計算機安全檢測技術有限公司針對目前最普遍的Web應用層，為安全測試人員和開發者提供了如何識別與避免這些安全威脅的指南。OWASP十大Web應用安全威脅項目（OWASPTopTen）只關注具有最高風險的Web領域，而不是一個普適性的滲透測試方法指南。信息收集配置管理測試認證測試會話管理測試授權測試數據驗證測試拒絕服務測試WEB服務測試AJAX測試OWASPTop10深圳市網安計算機安全檢測技術有限公司PTES滲透測試執行標準是由安全業界多家領軍企業技術專家所共同發起的，期望為企業組織與安全服務提供商設計并制定用來實施滲透測試的通用描述準則。PTES標準中定義的滲透測試過程環節基本上反映了安全業界的普遍認同，具體包括以下7個階段：滲透測試過程環節深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透方法分類黑箱測試白盒測試隱秘測試根據滲透目標分類主機操作系統滲透數據庫系統滲透應用系統滲透網絡設備滲透滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透方法分類黑箱測試白盒測試隱秘測試黑箱測試又被稱為所謂的“Zero-KnowledgeTesting”，滲透者完全處于對系統一無所知的狀態，通常這類型測試，最初的信息獲取來自于DNS、Web、Email及各種公開對外的服務器。滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透方法分類黑箱測試白盒測試隱秘測試白盒測試與黑箱測試恰恰相反，測試者可以通過正常渠道向被測單位取得各種資料，包括網絡拓撲、員工資料甚至網站或其它程序的代碼片斷，也能夠與單位的其它員工（銷售、程序員、管理者……）進行面對面的溝通。這類測試的目的是模擬企業內部雇員的越權操作。滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透方法分類黑箱測試白盒測試隱秘測試隱秘測試是對被測單位而言的，通常情況下，接受滲透測試的單位網絡管理部門會收到通知：在某些時段進行測試。因此能夠監測網絡中出現的變化。但隱秘測試則被測單位也僅有極少數人知曉測試的存在，因此能夠有效地檢驗單位中的信息安全事件監控、響應、恢復做得是否到位。滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透目標分類主機操作系統滲透數據庫系統滲透應用系統滲透網絡設備滲透對Windows、Solaris、AIX、Linux、SCO、SGI等操作系統本身進行滲透測試。滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透目標分類主機操作系統滲透數據庫系統滲透應用系統滲透網絡設備滲透對MS-SQL、Oracle、MySQL、Informix、Sybase、DB2、Access等數據庫應用系統進行滲透測試。滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透目標分類主機操作系統滲透數據庫系統滲透應用系統滲透網絡設備滲透對滲透目標提供的各種應用，如ASP、CGI、JSP、PHP等組成的WWW應用進行滲透測試。滲透測試的分類深圳市網安計算機安全檢測技術有限公司實際上滲透測試并沒有嚴格的分類方式，即使在軟件開發生命周期中，也包含了滲透測試的環節，但根據實際應用，普遍認同的幾種分類方法如下：根據滲透目標分類主機操作系統滲透數據庫系統滲透應用系統滲透網絡設備滲透對各種防火墻、入侵檢測系統、網絡設備進行滲透測試。滲透測試的分類深圳市網安計算機安全檢測技術有限公司中間人欺騙攻擊WEB攻擊內網嗅探C段攻擊服務器提權控制服務器滲透測試環節漏洞利用深圳市網安計算機安全檢測技術有限公司遠程溢出RDPMS12-020VBScriptMS14-011本地提權ASP.NETMS13-103.NETFrameworkMS14-009口令猜解弱口令默認密碼系統層滲透相關漏洞部分滲透測試工具介紹信息收集WebVulnerabilityScannerNessusNmap數據分析Burpsuitefirebug漏洞利用SqlMapMetasploithackbar深圳市網安計算機安全檢測技術有限公司WebVulnerabilityScanner深圳市網安計算機安全檢測技術有限公司Nessus深圳市網安計算機安全檢測技術有限公司Nmap深圳市網安計算機安全檢測技術有限公司Burpsuite深圳市網安計算機安全檢測技術有限公司firebug深圳市網安計算機安全檢測技術有限公司SqlMap深圳市網安計算機安全檢測技術有限公司Metasploit深圳市網安計算機安全檢測技術有限公司Hackbar深圳市網安計算機安全檢測技術有限公司深圳市網安計算機安全檢測技術有限公司網安網_網絡安全服務_計算機司法鑒定_網絡安全評估_深圳等級保護SQL注入漏洞XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏目前常見WEB漏洞XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞攻擊者可通過SQL注入對數據庫進行查詢、篡改等常規操作，執行權限允許的情況下，可以清空整個數據庫。同時，攻擊者也可通過SQL注入漏洞調用存儲過程，執行系統命令、利用備份寫入后門&木馬等操作。漏洞描述風險分析繞過登陸驗證獲取數據庫數據篡改數據庫執行危險存儲過程XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞攻擊者可利用該漏洞，提交構造的跨站代碼，在用戶非自愿的情況下執行惡意腳本，導致會話、Cookie等信息被竊取，通過竊取到的認證信息，偽造身份進行攻擊。漏洞描述風險分析執行惡意代碼竊取用戶會話信息獲得管理權限偽造身份進行攻擊XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞由于WEB應用存在的某些缺陷，攻擊者可以無視上傳規則，上傳非法文件，導致上傳WebShell木馬、后門程序，或者提權、破壞服務器內容。漏洞描述風險分析直接獲取WebShell上傳木馬&后門或者病毒程序通過提權得到服務器控制權XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞通過簡單密碼組合猜解，一旦高權限帳戶密碼強度不夠，就容易被獲取，或者暴力破解，從而得到網站管理權限，某些可能存在缺陷的后臺功能，由于其他高危漏洞，導致攻擊者最終獲得整個服務器的最高權限。漏洞描述風險分析用戶密碼被猜解管理權限泄漏后臺可能存在其他高風險漏洞XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞由于WEB應用邏輯缺陷，頁面存在驗證不足的情況下，低權限帳號可能越權訪問應用功能，或者繞過登陸驗證直接進入后臺。漏洞描述風險分析繞過登陸驗證越權訪問應用功能篡改后臺設置利用其他后臺漏洞進一步攻擊XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞WEB服務器程序通過不斷的更新和升級，來修復程序中存在的各種漏洞。低版本可能存在高版本中已知的高危漏洞，如果沒有及時升級更新或者使用的WEB服務器程序版本過低，就有可能存在沒有被修復的漏洞。漏洞描述風險分析拒絕服務攻擊溢出攻擊任意命令執行敏感信息泄漏XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞應用程序錯誤信息，在WEB應用開發期間，可以幫助開發人員快速找到Bug，修復和完善應用程序。在部署運行時，可能存在容錯機制不完善，沒有嚴格處理5xx錯誤等信息，導致應用程序錯誤信息直接暴露在瀏覽者面前。漏洞描述風險分析應用程序代碼細節泄漏(SQL字段，代碼邏輯)WEB應用錯誤暴露絕對路徑泄漏服務器環境信息XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞在測試服務器環境和配置的時候，可能會遺留一些測試文件。在后期維護中，操作者一時疏忽大意，往往隨意重命名來保存備份文件。這些文件可能會被掃描或猜解到。漏洞描述風險分析測試文件會泄漏服務器環境信息備份文件可能存在源代碼細節設置或者配置文件泄漏XSS跨站腳本漏洞文件上傳漏洞登陸權限繞過管理帳戶弱口令WEB服務中間件漏洞應用程序錯誤存在測試&備份文件敏感信息泄漏SQL注入漏洞深圳市網安計算機安全檢測技術有限公司目前常見WEB漏洞WEB應用在開發或者維護中，可能會存在注釋，說明等信息。比如版本更新之后的說明文件，或者源文件中的注釋說明，以及暫時注釋掉的代碼片段，聯系方式和姓名等信息。攻擊者可能會收集這些信息，進行社會工程學攻擊。漏洞描述風險分析更新說明文件可能存在配置信息注釋掉的代碼沒有被執行存在代碼處理邏輯或者文件路徑信息姓名聯系方式等信息可能會被社工利用深圳市網安計算機安全檢測技術有限公司安全漏洞等級標準標準號GB/Z20986-2007中文名稱信息安全技術信息安全事件分類分級指南英文名稱Informationsecuritytechnology-GuidelinesforthecategoryandclassificationofInformationsecurityincidents發布日期2007-07-30實施日期2007-11-01發布單位中華人民共和國國家質量監督檢驗檢疫總局、中國國家標準化管理委員會中國標準分類L80安全漏洞等級標準深圳市網安計算機安全檢測技術有限公司安全漏洞等級標準標準號GB/T30279-2013中文名稱信息安全技術安全漏洞等級劃分指南英文名稱Informationsecuritytechnology—Vulnerabilityclassificationguide發布日期2013-12-31實施日期2014-07-15起草單位中國信息安全測評中心、中國科學院研究生院國家計算機網絡入侵防范中心、北京航空航天大學歸口單位全國信息安全標準化技術委員會中國標準分類L80安全漏洞等級標準深圳市網安計算機安全檢測技術有限公司安全漏洞等級定義標準安全漏洞等級劃分要素包括訪問路徑、利用復雜度和影響程度三方面。

訪問路徑訪問路徑的賦值包括：本地、鄰接和遠程，通常可被遠程利用的安全漏洞危害程度高于可被鄰接利用的安全漏洞，可本地利用的安全漏洞最低。利用復雜度利用復雜度的賦值包括：簡單和復雜，通常利用復雜度為簡單的安全漏洞危害程度高。影響程度影響程度的賦值包括：完全、部分、輕微和無，通常影響程度為完全的安全漏洞危害程度高于影響程度為部分的安全漏洞，影響程度為輕微的安全漏洞次之，影響程度為無的安全漏洞可被忽略。安全漏洞等級定義深圳市網安計算機安全檢測技術有限公司安全漏洞等級劃分安全漏洞的危害程度從低至高依次為：低危、中危、高危和超危。

安全漏洞等級劃分步驟包括:確定訪問路徑的賦值；確定利用復雜度的賦值；分別確定保密性、完整性和可用性的影響賦值；確定影響的步驟包括：確定保密性的賦值；確定完整性的賦值；確定可用性的賦值；確定影響程度賦值；根據訪問路徑、利用復雜度和影響程度的賦值，確定安全漏洞等級。安全漏洞等級定義深圳市網安計算機安全檢測技術有限公司DDos攻擊安全漏洞等級定義首先從一個比方來深入理解什么是DDOS。一群惡霸試圖讓對面那家有著競爭關系的商鋪無法正常營業，他們會采取什么手段呢？（只為舉例，切勿模仿）惡霸們扮作普通客戶一直擁擠在對手的商鋪，賴著不走，真正的購物者