項(xiàng)目一網(wǎng)站系統(tǒng)滲透測試報(bào)告-文庫吧
2025-03-30 05:01 本頁面
【正文】 全產(chǎn)品Sanctum公司（以色列）的AppScan （） 評估系統(tǒng)，可以對各種已知及未知、應(yīng)用程序特有及普遍存在的漏洞進(jìn)行評估，并能夠分析并且學(xué)習(xí)每一個(gè)Web應(yīng)用獨(dú)特的個(gè)性，通過組合變化各種攻擊特征，測試并驗(yàn)證目標(biāo)系統(tǒng)的脆弱性。三、滲透測試過程描述 南京青苜信息技術(shù)有限公司本次對網(wǎng)上營業(yè)廳官方網(wǎng)站系統(tǒng)://.*.，發(fā)現(xiàn)部分明顯的安全漏洞。 根據(jù)漏洞類別進(jìn)行統(tǒng)計(jì)，如下所示:漏洞類別高中低風(fēng)險(xiǎn)值網(wǎng)站結(jié)構(gòu)分析－－－0目錄遍歷探測－－－0隱藏文件探測－－－0備份文件探測－－－0CGI漏洞掃描－－－0用戶和密碼猜解－－－0跨站腳本分析－－－0SQL注射漏洞挖掘（含數(shù)據(jù)庫挖掘分析）－－－0風(fēng)險(xiǎn)總值0注：通過工具分析沒有發(fā)現(xiàn)XXXX網(wǎng)站系統(tǒng)的存在的安全漏洞。通過對網(wǎng)站進(jìn)行智能搜索掃描和結(jié)構(gòu)分析，發(fā)現(xiàn)XXXX網(wǎng)站使用兩種web服務(wù)、兩種腳本語言和兩種數(shù)據(jù)庫，分別是iis6+asp+Access和apache tomcat+jsp+oracle，分別跑在80和8080兩個(gè)端口上，另外通過掃描可以看出網(wǎng)站使用的windows 2003的操作系統(tǒng)，由于近期并有針對windows 2003和iis6以及apache可以利用的安全漏洞，所以從端口上看在系統(tǒng)層上是沒有有利用價(jià)值的漏洞，因此，我們只能從asp和jsp腳本上對網(wǎng)站進(jìn)行滲透測試，并最終發(fā)現(xiàn)了腳本存在的漏洞，并利用這些漏洞進(jìn)入XXXX網(wǎng)站后臺系統(tǒng)。通過遍歷每個(gè)存在的目錄，智能搜索并探測除公開網(wǎng)頁中包含的所有目錄以外，是否存在非授權(quán)不能訪問卻被訪問的目錄。這些目錄很有可能就是網(wǎng)站管理員后臺程序所在目錄或者是數(shù)據(jù)庫所在目錄。如果這些目錄沒有做好權(quán)限設(shè)置，那么極有可能導(dǎo)致網(wǎng)站后臺失陷于此。 apache tomcat存在漏洞通過XX公司安全人員對apache tomcat手工測試發(fā)現(xiàn)，XXXX網(wǎng)站由于配置原因存在目錄過濾不嚴(yán)，可瀏覽任意web目錄漏洞如下：1. :8080/XXXXXX/Library/ 2. :8080/XXXXXX/doc/database/3. :8080/manager/4. :8080/XXXXXX/5. :8080/tphealth/yw/6. :8080/t
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號-1