Web應(yīng)用安全測(cè)試方案

1、web應(yīng)用安全測(cè)試方案1web平安測(cè)試技術(shù)方案1.1測(cè)試的目的更好的發(fā)覺(jué)當(dāng)前系統(tǒng)存在的可能的平安隱患，避開(kāi)發(fā)生危害性的平安大事更好的為今后系統(tǒng)建立供應(yīng)指導(dǎo)和有價(jià)值的看法及建議1.2測(cè)試的范圍本期測(cè)試效勞范圍包含如下各個(gè)系統(tǒng)：web系統(tǒng)：1.3測(cè)試的內(nèi)容1.3.1web應(yīng)用針對(duì)網(wǎng)站及web系統(tǒng)的平安測(cè)試，我們將進(jìn)展以下方面的測(cè)試：?web 效勞器平安破綻?web 效勞器錯(cuò)誤配置?sql 注入?xss跨站腳本?crlf 注入?名目遍歷?文件包含?輸入驗(yàn)證?認(rèn)證?規(guī)律錯(cuò)誤?google hacking?密碼愛(ài)護(hù)區(qū)域猜想?字典攻擊?特定的錯(cuò)誤頁(yè)面檢測(cè)?脆弱權(quán)限的名目?危急的 http 方法如：put、

2、delete1.4測(cè)試的流程方案制定局部：獵取到客戶(hù)的書(shū)面受權(quán)答應(yīng)后，才進(jìn)展平安測(cè)試的施行。并且將施行范圍、方法、時(shí)間、人員等詳細(xì)的方案與客戶(hù)進(jìn)展溝通，并得到客戶(hù)的認(rèn)同。在測(cè)試施行之前，讓客戶(hù)對(duì)平安測(cè)試過(guò)程和風(fēng)險(xiǎn)知曉，使隨后的正式測(cè)試流程都在客戶(hù)的掌握下。信息搜集局部：這包括：操作系統(tǒng)類(lèi)型指紋搜集；網(wǎng)絡(luò)拓?fù)錁?gòu)造分析；端口掃描和目的系統(tǒng)供應(yīng)的效勞識(shí)別等。采納商業(yè)和開(kāi)源的檢測(cè)工具awvs、burpsuite、nmap等進(jìn)展搜集。測(cè)試施行局部：在躲避防火墻、入侵檢測(cè)、防毒軟件等平安產(chǎn)品監(jiān)控的條件下進(jìn)展：操作系統(tǒng)可檢測(cè)到的破綻測(cè)試、應(yīng)用系統(tǒng)檢測(cè)到的破綻測(cè)試如：web應(yīng)用，此階段假如勝利的話(huà)，可能獲得一

3、般權(quán)限。平安測(cè)試人員可能用到的測(cè)試手段有：掃描分析、溢出測(cè)試、口令爆破、社會(huì)工程學(xué)、客戶(hù)端攻擊、中間人攻擊等，用于測(cè)試人員順當(dāng)完成工程。在獵取到一般權(quán)限后，嘗試由一般權(quán)限提升為管理員權(quán)限，獲得對(duì)系統(tǒng)的完全掌握權(quán)。此過(guò)程將循環(huán)進(jìn)展，直到測(cè)試完成。最終由平安測(cè)試人員去除中間數(shù)據(jù)。分析報(bào)告輸出：平安測(cè)試人員依據(jù)測(cè)試的過(guò)程結(jié)果編寫(xiě)直觀的平安測(cè)試效勞報(bào)告。內(nèi)容包括：詳細(xì)的操作步驟描繪；響應(yīng)分析以及最終的平安修復(fù)建議。下列圖是更為具體的步驟拆分示意圖：1.5測(cè)試的手段依據(jù)平安測(cè)試的實(shí)際需求，實(shí)行自動(dòng)化測(cè)試與人工檢測(cè)與審核相結(jié)合的方式，大大的削減了自動(dòng)化測(cè)試過(guò)程中的誤報(bào)問(wèn)題。1.5.1常用工具列表自動(dòng)化掃描

4、工具：awvs、owasp zap、burpsuite等端口掃描、效勞檢測(cè)：nmap、thc-amap等密碼、口令破解：johntheripper、hashcat、cain等破綻利用工具：metasploitframework等應(yīng)用缺陷分析工具：burpsuite、sqlmap等1.6測(cè)試的風(fēng)險(xiǎn)躲避在平安測(cè)試過(guò)程中，雖然我們會(huì)盡量避開(kāi)做影響正常業(yè)務(wù)運(yùn)行的操作，也會(huì)施行風(fēng)險(xiǎn)躲避的計(jì)謀，但是由于測(cè)試過(guò)程改變多端，平安測(cè)試效勞仍舊有可能對(duì)網(wǎng)絡(luò)、系統(tǒng)運(yùn)行造成肯定不同程度的影響，嚴(yán)峻的后果是可能造成效勞停頓，甚至是宕機(jī)。比方浸透人員施行系統(tǒng)權(quán)限提升操作時(shí)，突遇系統(tǒng)停電，再次重啟時(shí)可能會(huì)出現(xiàn)系統(tǒng)無(wú)法啟動(dòng)的故障等。因此，我們會(huì)在平安測(cè)試前與客戶(hù)具體爭(zhēng)論浸透方案，并實(shí)行如下多條策略來(lái)躲避平安測(cè)試帶來(lái)的風(fēng)險(xiǎn)：1.6.1需要客戶(hù)躲避的風(fēng)險(xiǎn)備份策略為防范平安測(cè)試過(guò)程中的異樣問(wèn)題，測(cè)試的目的系統(tǒng)需要事先做一個(gè)完好的數(shù)據(jù)備份，以便在問(wèn)題發(fā)生后能準(zhǔn)時(shí)復(fù)原工作。對(duì)銀行轉(zhuǎn)帳、電信計(jì)費(fèi)、電力調(diào)度等不行承受可能風(fēng)險(xiǎn)的系統(tǒng)的測(cè)試，可以實(shí)行對(duì)目的副本進(jìn)展浸透的方式加以施行。這樣就需要完好的復(fù)制目的系統(tǒng)的環(huán)境：硬件平臺(tái)、操作系統(tǒng)、應(yīng)用效勞、程序軟件、業(yè)務(wù)訪(fǎng)問(wèn)等；然后對(duì)該副本再進(jìn)展平安測(cè)試。應(yīng)急策略測(cè)試過(guò)程中，假如目的系統(tǒng)出現(xiàn)無(wú)響應(yīng)、中