滲透測試招標技術規(guī)范doc-文庫吧
2025-09-25 08:17 本頁面
【正文】 提 權(quán) 漏洞。 評 估目 標 系 統(tǒng) 敏感信息是否存在不安全的加密存 儲 （如密 碼 加密存 儲 、信用卡加密存 儲 等）。 評 估加密算法的安全 強 度是否足 夠 。 評 估目 標 系 統(tǒng) 的會 話 安全機制（如是否存在敏感信息泄露、會 話篡 改、會 話 劫持、會 話 重放等）。 評 估攻 擊 者是否可 以假冒受害客戶端 執(zhí) 行操作。 評 估攻 擊 者是否可以破壞會 話傳輸 的完整性和機密性。 評 估目 標 系 統(tǒng) 是否存在不安全的直接 對 象引用。 評 估目 標 系 統(tǒng) 是否每次都 驗證 用 戶 是否有 權(quán)訪問 目 標對 象。 評 估攻 擊 者是否可以操控這 些引用去 訪問 未授 權(quán) 數(shù)據(jù)。 評 估目 標 系 統(tǒng) 的安全配置安全性。如 應 用程序、框架、 應 用程序服 務 器、 web 服務 器、數(shù)據(jù) 庫 服 務 器和平臺的配置是否存在安全漏洞。（如未更改默 認帳戶 /密碼 、未使用的網(wǎng) 頁 、未安裝 補 丁的漏洞、未被保 護 的文件和目 錄 、未禁用或 刪 除多余的端口 /服務 /網(wǎng)頁 /帳戶 /權(quán) 限等。） 評 估攻 擊 者利用 錯誤 的安全配置是否可以 訪問目標 系 統(tǒng) 未授 權(quán) 的數(shù)據(jù)或功能。 評 估目 標 系 統(tǒng) 是否限制 URL 訪問權(quán) 限。（如某敏感 url 網(wǎng)頁 可不經(jīng) 身份 認證 直接 訪問 、管理后臺 頁 面可以未 經(jīng) 授 權(quán) 直接 訪問 等） 評 估目 標 系 統(tǒng) 重定向或 轉(zhuǎn)發(fā)鏈 接是否 經(jīng)過驗證 ， 評 估是否可以重定向客 戶 端受害用 戶 到 釣魚軟 件或 惡 意網(wǎng)站，或者使用 轉(zhuǎn)發(fā) 去 訪問 未授 權(quán) 的 頁 面。 評 估攻 擊 者是否利用不安全的 轉(zhuǎn)發(fā)繞過訪問 控制。 評 估目 標 系 統(tǒng) 在 業(yè)務邏輯層 面是否存在安全漏洞。（如目 標 系 統(tǒng)需要 經(jīng)過 3 步驟 完成某 項 工作使命，攻 擊 者 繞過 2 步驟 ，直接 進 行 3 步驟 。） 評 估目 標 系 統(tǒng) 是否存在 緩 沖區(qū)溢出漏洞。 評 估攻 擊 者是否可以利用 緩 沖區(qū)溢出漏洞 進 行非授 權(quán)訪問 、 獲 取控制 權(quán) 、破壞可用性等威 脅操作。 評 估目 標 系 統(tǒng) 的抗拒 絕 服 務 攻 擊 的能力和 強 度。 評 估目 標 系 統(tǒng) 的可用性是否易被攻 擊 和影響。 評 估目 標 系 統(tǒng) 的 頁 面是否已 經(jīng) 或可以被攻 擊 者 篡
法律信息相關推薦
鄂ICP備17016276號-1