滲透測試對企業的重要性!

滲透測試對企業的重要性!

普通的測試服務和漏洞掃描工具只能發現常規性的漏洞,而對於系統深層次的漏洞和業務邏輯漏洞一般掃描器是無法探測到的,因此需要選擇人工安全滲透測試服務來對業務系統做更深層次、更全面的安全檢查。

什麼是滲透測試?

滲透測試是對網站和伺服器的全方位安全測試,透過模擬駭客攻擊的手法,切近實戰,提前檢查網站的漏洞,然後進行評估形成安全報告。這種安全測試也被成為黑箱測試,類似於軍隊的“實戰演習”,即沒有網站程式碼和伺服器許可權的情況下,從公開訪問的外部進行安全滲透。 透過滲透測試找到網站和伺服器的漏洞所在,從而確保網站的安全、伺服器安全的穩定執行。

滲透測試範圍和內容

網站安全滲透包括,SQL注射漏洞,cookies注入漏洞,檔案上傳截斷漏洞,目錄遍歷漏洞,URL跳轉漏洞,線上編輯器漏洞,網站身份驗證過濾漏洞,PHP遠端程式碼執行漏洞,資料庫暴庫漏洞,網站路徑漏洞,XSS跨站漏洞,預設後臺及弱口令漏洞,任意檔案下載漏洞,網站程式碼遠端溢位漏洞,修改任意賬號密碼漏洞,程式功能上的邏輯漏洞,任意次數簡訊傳送、任意手機號碼或郵箱註冊漏洞後臺或者api介面安全認證繞過漏洞等等的安全滲透測試。

伺服器安全滲透包括,內網滲透,FTP提權漏洞,SQL Server資料庫提權,Mysql提權漏洞,linux本地溢位漏洞,替換系統服務漏洞,遠端桌面認證繞過漏洞,埠對映漏洞,CC壓力測試,DDOS壓力測試,arp欺騙篡改頁面測試,DNS欺騙漏洞,會話劫持漏洞,以及虛擬主機等眾多應用程式系統的漏洞測試。

服務形式

將採用國際標準的預攻擊、攻擊和後攻擊三個階段:

預攻擊階段主要指一些資訊收集和漏洞掃描的過程;

攻擊過程主要是利用第一階段發現的漏洞或弱口令等脆弱性進行入侵;

後攻擊是指在獲得攻擊目標的一定許可權後,對許可權的提升、後門安裝和痕跡清除等後續工作。

同時結合社會工程學、密碼庫等高階方法進行攻擊測試

方案內容

滲透測試對企業的重要性!

SQL注入:

檢測網站是否存在SQL注入漏洞,如:INT型注入和String型注入,盲注、報錯注入、編碼寬位元組注入、二次Urldecode注入、如果存在該漏洞,攻擊者對注入點進行注入攻擊,注入攻擊是對資料庫直接操作,可輕易獲得網站的後臺管理許可權,甚至網站伺服器的管理許可權。並可能導致使用者資料洩露。重要的敏感資訊洩漏,SQL 注入可獲取大量企業核心業務資料等介面問題引起的敏感資訊洩露。

嚴重的邏輯設計漏洞:

包括批次修改任意賬號密碼漏洞、提現密碼任意修改,撤單漏洞,訂單篡改漏洞,找回密碼漏洞,任意查詢使用者資訊漏洞(姓名,手機號,郵箱,身份證),銀行卡號資訊任意更改,任意次數簡訊傳送、任意手機號碼或郵箱註冊漏洞,賬號普通越權操作修改其他使用者密碼,繞過限制修改使用者資料、執行使用者操作等,後臺或者api介面安全認證繞過漏洞涉及企業核心業務的邏輯漏洞。

直接獲取系統許可權的漏洞:

(伺服器許可權、客戶端許可權)包括遠端命令執行、任意程式碼執行、上傳獲取Webshell、SQL注入獲取系統許可權、緩衝區溢位(包括可利用的ActiveX緩衝區溢位)敏感資訊越權訪問,包括但不僅限於繞過認證直接訪問管理後臺、重要後臺弱密碼、獲取大量內網敏感資訊的SSRF等。

檔案上傳操作漏洞:

檢測網站的上傳功能是否存在上傳漏洞,包含move_uploaded_file()上傳函式測試有沒有安全過濾,檔案頭、content_type驗證繞過,繞過上傳檔案格式(asp,php,jsp。等指令碼檔案),繞過上傳的目錄,檔案操作漏洞(檔案包含漏洞,本地檔案包含,遠端檔案包含,檔案包含截斷,任意檔案讀取,檔案任意刪除漏洞)如果存在此漏洞,攻擊者可直接利用該漏洞上傳木馬從而在網站上獲取Webshell並進而控制網站,也可以破壞網站,危害較嚴重。

XSS跨站漏洞:

檢測網站是否存在反射性XSS,儲存性XSS漏洞,XXS漏洞經常出現在文章發表,評論回覆,留言,個人資料設定,傳送信件,註冊資料等等程式功能上,常用的輸入函式列表:print、print_r、echo、printf、sprintf、die、var-dump、var_export,等函式列表裡進行漏洞測試,XSS跨站攻擊,會竊取使用者cookies、利用CSRF漏洞進行跨站請求偽造,劫持使用者或者管理員的身份進行網站提權,上傳木馬後門,新增管理員賬號,修改網站配置。

原始碼洩露:

檢測網站是否存在原始碼洩露漏洞,如果存在此漏洞,攻擊者可直接下載網站的原始碼。並獲取網站的資料庫密碼以及管理密碼。檢測網站的某些隱藏目錄是否存在洩露漏洞。如果存在此漏洞,攻擊者可瞭解網站的全部結構。普通訊息洩漏。包括客戶端明文儲存密碼、以及web路徑遍歷、系統路徑遍歷等。

重要的事情再講億遍普通的測試服務和漏洞掃描工具只能發現常規性的漏洞,而對於系統深層次的漏洞和業務邏輯漏洞一般掃描器是無法探測到的,人工安全滲透測試對一些企業尤為重要。

頂部