1
2
3
4
滲透測(cè)試(Penetration Test,PT)是完全模擬黑客可能使用的攻擊技術(shù)和漏洞發(fā)現(xiàn)技術(shù),對(duì)目標(biāo)系統(tǒng)的安全做深入的探測(cè),發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)。滲透測(cè)試和黑客入侵最大區(qū)別在于滲透測(cè)試是經(jīng)過(guò)客戶授權(quán),采用可控制、非破壞性質(zhì)的方法和手段發(fā)現(xiàn)目標(biāo)和網(wǎng)絡(luò)設(shè)備中存在弱點(diǎn),幫助管理者知道自己網(wǎng)絡(luò)所面臨的問(wèn)題。
2.1 信息收集:利用公開域查詢、掃描、嗅探以及社會(huì)工程學(xué)等手段收集系統(tǒng)大量信息,從中提取有用信息。通過(guò)對(duì)網(wǎng)絡(luò)信息收集分析,可以相應(yīng)地、有針對(duì)性地制定模擬黑客入侵攻擊的計(jì)劃,以提高入侵的成功率。
2.2 端口掃描:通過(guò)對(duì)目標(biāo)地址的 TCP/UDP 端口掃描,確定其開放的服務(wù)數(shù)量和類型。通過(guò)端口掃描,可以基本確定一個(gè)系統(tǒng)的基本信息,并且結(jié)合測(cè)試人員的經(jīng)驗(yàn)可以確定其可能存在,以及被利用的安全弱點(diǎn),為進(jìn)行深層次的滲透提供依據(jù)。 2.3 權(quán)限提升:通過(guò)獲取本地權(quán)限,收集本地資料信息,尋求本地權(quán)限升級(jí)的機(jī)會(huì)。通過(guò)對(duì)信息收集分析、權(quán)限升級(jí)的結(jié)果輸出整個(gè)滲透測(cè)試過(guò)程。 2.4 應(yīng)用測(cè)試:1、檢查應(yīng)用系統(tǒng)架構(gòu),防止用戶繞過(guò)系統(tǒng)直接修改數(shù)據(jù)庫(kù);2、檢查身份認(rèn)證模塊,防止非法用戶繞過(guò)身份認(rèn)證;3、檢查數(shù)據(jù)庫(kù)接口模塊,防止用戶獲取系統(tǒng)權(quán)限;4、檢查文件接口模塊,防止用戶獲取系統(tǒng)文件;5、檢查其他安全威脅。 2.5 不同網(wǎng)段/Vlan之間的滲透:這種滲透方式是從某內(nèi)/外部網(wǎng)段,嘗試對(duì)另一網(wǎng)段/Vlan 進(jìn)行滲透。 2.6 檢測(cè)頁(yè)面隱藏字段:網(wǎng)站應(yīng)用系統(tǒng)常采用隱藏字段存儲(chǔ)信息,有不良居心的用戶通過(guò)操作隱藏字段內(nèi)容,進(jìn)行惡意交易和竊取信息等行為,是一種非常危險(xiǎn)的漏洞。 2.7 后門程序:檢查系統(tǒng)開發(fā)過(guò)程中遺留的后門和調(diào)試選項(xiàng)可能被入侵者所利用,導(dǎo)致入侵者輕易地從捷徑實(shí)施攻擊。 2.8 代碼審查:對(duì)受測(cè)業(yè)務(wù)系統(tǒng)站點(diǎn)進(jìn)行安全代碼審查,識(shí)別出會(huì)導(dǎo)致安全問(wèn)題和事故的不安全編碼技術(shù)和漏洞。 2.9 其他測(cè)試:在滲透測(cè)試中還需要借助暴力破解、網(wǎng)絡(luò)嗅探等其他方法,來(lái)嘗試獲取用戶名及密碼。 【三】服務(wù)對(duì)象
|企業(yè)網(wǎng)站|電商平臺(tái) |政務(wù)外網(wǎng)| 網(wǎng)頁(yè)應(yīng)用 | 微信服務(wù)號(hào) | 微信小程序 | 工控安全測(cè)試
【四】服務(wù)方式
4.1 人工模擬測(cè)試:測(cè)試人員模擬真正的入侵者入侵攻擊方法,以人工滲透為主,使用攻擊工具為輔助,以保證整個(gè)滲透測(cè)試過(guò)程都在可以控制和調(diào)整的范圍之內(nèi),同時(shí)確保對(duì)網(wǎng)絡(luò)沒(méi)有造成破壞性的損害。
4.2 確保系統(tǒng)完整性:由于采用可控制的、非破壞性質(zhì)的滲透測(cè)試,因此不會(huì)對(duì)被評(píng)估的客戶信息系統(tǒng)造成嚴(yán)重的影響。在滲透測(cè)試結(jié)束后,客戶信息系統(tǒng)將基本保持一致。 【五】服務(wù)流程
1
2
3
4
|
技術(shù)支持:悟安
Copyright ? 2014-2020 北京旗云天下科技有限公司 版權(quán)所有
京公網(wǎng)安備 11011202000939號(hào)
京ICP備17058884號(hào)-1