四川纳卡检测服务有限公司 收藏

系统安全脆弱点测试包括但不限于如下内容：

? 口令猜解：针对操作系统、数据库等应用的口令登录安全进行测试，利用自动化工具，并通过使用密码字典文件，大量尝试登录单位内部的系统，进而找出存在空口令、弱口令的系统账号。该测试存在一定的安全风险，因为当系统设备启用密码登录安全策略时，大量的尝试会造成账号锁定，导致拒绝服务攻击发生，故执行相关操作时需特别当心。

? 溢出测试：当无法直接利用帐户口令登陆系统时，也会采用系统溢出的方法直接获得系统控制权限，此方法有时会导致系统死机或从新启动，但不会导致系统数据丢失，如出现死机等故障，只要将系统从新启动并开启原有服务即可。

? 敏感信息泄露：敏感信息的泄露会使系统存在于风险当中，如开启了不需要的服务、服务端口不恰当的对非授权区域开放、DNS区域传送机制未合理配置、特定系统服务（如telnet、SSH、FTP等）旗标未修改屏蔽等，此类敏感信息的不合理控制，会给攻击者的信息收集以及系统攻击工作带来***便利，因此，在本服务测试中网神将对此类信息进行重点排查。

? 系统安全管理：严格管理系统账户、有效控制系统服务，优化系统的安全配置，启用系统必要的安全控制措施，避免系统发生故障或遭受攻击。

? 系统漏洞：针对业务系统所需要的系统服务进行优化管理和配置。

? 系统访问控制和审计：对系统进行有效访问控制和日志审计。

? 采用以下方法获得主机系统的安全弱点，本期项目中可以根据实际情况适当采纳：

? 工具扫描：通过评估工具对主机、应用程序和数据库进行扫描。扫描评估主要是根据已有的安全漏洞知识库，模拟黑客的攻击方法，检测网络协议、网络服务、网络设备、应用系统等各主机设备所存在的安全隐患和漏洞。

? 漏洞扫描主要依靠带有安全漏洞知识库的网络安全扫描工具对信息资产进行基于网络层面安全扫描，其特点是能对被评估目标进行覆盖面广泛的安全漏洞查找，并且评估环境与被评估对象在线运行的环境完全一致，能较真实地反映主机系统、网络设备、应用系统所存在的网络安全问题。

? 安全基线分析：依据对主机平台的标准化的安全审计列表（安全基线），检查和分析主机系统平台存在的安全问题。专家评估与工具扫描相结合，可以完成许多工具所无法完成的事情，从而得出全面的、客观的评估结果。专家评估是根据***的安全检查核对表内容，逐项检查系统的各项配置和运行状态。核对表内容根据***漏洞发现、客户不同的系统和运行环境、以及专家的经验知识而制定，它主要包括有以下几个方面：

ü 安全配置检查：系统管理和维护的正常配置，合理配置，及优化配置。例如系统目录权限，账号管理策略，文件系统配置，进程通信管理等。

ü 安全机制检查：安全机制的使用和正常配置，合理配置，及优化配置。例如日志及审计、备份与恢复，签名与校验，加密与通信，特殊授权及访问控制等。

ü 入侵追查及事后取证：检查与发现系统入侵，攻击或其它危害，尽可能追查及取证。例如日志被毁坏篡改或删除，计费数据被删除，遭受DOS攻击，系统被监听，控制或安装后门等。

一.1.1.1.1、WEB中间件渗透测试

针对WEB常见的软件，例如APACHE、IIS、TOMCAT中间件等各类应用软件中常用到的软件，自身存在一些由于版本较低或配置不当所造成的安全隐患和漏洞，作为渗透测试的一些主要内容和方向。

? 缓冲区溢出：由于应用服务版本过低所造成的应用自身的安全漏洞

? 路径和参数安全：由于对应用配置不足够所造成的路径和参数泄露

? 测试和帮助页面：由于应用配置不足所造成的测试和帮助页面显示

? 账号和口令：由于应用配置和测试导致无用账号或口令简单

一.1.1.1.2、WEB应用渗透测试

针对WEB常见的应用，重点是由于应用软件在设计和开发的过程中，由于安全设计不足和开发不规范所造成的隐患和漏洞，主要包括如下几类：

信息收集

? 域名及IP信息收集：收集被测试网站的域名、二级域名、ip地址、对应的C段IP地址等信息；

? 系统信息收集：WEB运行平台的操作系统信息、数据库信息 ；

? 中间件信息收集：WEB应用的中间件信息，如Apache、Tomcat、weblogic等；

? 信息系统开发框架信息：收集web应用开发框架的信息，如Struts2；

? CMS信息收集：探测并收集web应用的应用类型、版本等；

? 其他信息：其他必要的渗透测试信息，如第三方组件等。

身份验证

? 在未加密的网络链接上传递身份验证凭据或身份验证 COOKIE，这会引起凭据捕获或会话攻击；

? 利用弱密码和账户策略，这会引起未经授权的访问；

? 将个性化与身份验证混合起来。

授权

? 使用越权角色和账户；

? 没有提供足够的角色粒度；

? 没有将系统资源限制于特定的应用程序身份。

输入和数据验证

? 完全依赖于客户端验证；

? 使用 deny 方法而非 allow 来筛选输入；

? 将未经验证的数据写出到 Web 页；

? 利用未经验证的输入来生成 SQL 查询；

? 使用不安全的数据访问编码技术，这可能增加 SQL 注入引起的威胁；

? 使用输入文件名、URL 或用户名进行安全决策。

配置管理

? 以明文存储配置机密信息，例如，连接字符串和服务帐户证书；

? 没有保护应用程序配置管理的外观，包括管理界面；

? 使用越权进程帐户和服务帐户。

敏感数据

? 在不需要存储机密信息时保存它们；

? 在代码中存储机密信息；

? 以明文形式存储机密信息；

? 在网络上以明文形式传递敏感数据。

会话管理

? 在未加密信道上传递会话标识符；

? 延长会话的生存期；

? 不安全的会话状态存储；

? 会话标识符位于查询字符串中。

加密

? 使用自定义加密方法；

? 使用错误的算法或者长度太短的密钥；

? 没有保护密钥；

? 对于延长的时间周期使用同一个密钥。

参数管理

? 没有验证所有的输入参数这使系统的应用程序容易受到拒绝服务攻击和代码注入攻击，包括 SQL 注入和 XSS。

? 未加密的 COOKIE 中包含敏感数据。攻击者可以在客户端更改 COOKIE 数据，或者当它在网络上传递时进行捕获和更改。

? 查询字符串和表单域中包含敏感数据。很容易在客户端更改查询字符串和表单域。

异常管理

? 没有验证所有的输入参数；

? 显示给客户端的信息太多。

审核与记录

? 没有审核失败的登录；

? 没有保护审核文件；

? 没有跨应用程序层和服务器进行审核。