【正文】 攻擊的過程，因此其的實施過程也類似于一次完整的黑客攻擊過程，我們將其劃分為了如下幾個階段： 預攻擊階段（尋找滲透突破口） 攻擊階段（獲取目標權限） 后攻擊階段（擴大攻擊滲透成果） 如下圖： 預攻擊階段 預攻擊階段主要是為了收集獲取信息，從中發(fā)現(xiàn)突破口，進行進一步攻擊決策。 （ 5） 從整體上把握組織或企業(yè)的信息安全現(xiàn)狀 信息安全是一個整體 項目 ，一個完整和成功的滲透測試案例可能會涉及系統(tǒng)或組織中的多個部門、人員或對象，有助于組織中的所有成員意識到自己所在崗位對系統(tǒng)整體安全的影響，進而采取措施降低因為自身的原因造成的風險，有助于內部安全的提升。工具掃描具有很好的效率和速度，但是存在一定的誤報率和漏報率，并且不能發(fā)現(xiàn)高層次、復雜、 并且相互關聯(lián)的安全問題；滲透測試的價值直接依賴于實施者的專業(yè)技能和素養(yǎng)但是非常準確，可以發(fā)現(xiàn)系統(tǒng)和組織里邏輯性更強、更深層次的弱點。在滲透測試結束后， 客戶信息 系統(tǒng)將基本保持一致。工具掃描具有很好的效率和速度，但是存在一定的誤報率，不能發(fā)現(xiàn)高層次、復雜的安全問題；滲透 測試對 測試者的專業(yè)技能很高（滲透測試報告的價值直接依賴于測試者的專業(yè)技能 ），但是非常準確，可以發(fā)現(xiàn)邏輯性更強、更深層次的弱點。 Exposures 公共漏洞和暴露 ） 已經發(fā)現(xiàn)的安全漏洞， 以及隱患漏洞。 滲透測試 解決方案 滲透測試簡介 滲透測試概念 滲透測試 （ Peration Test） , 是完全模擬黑客可能使用的攻擊技術和漏洞發(fā)現(xiàn)技術，對目標系統(tǒng)的安全做深入的探測，發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)。主要包括 安全管理咨詢服務和安全技術評估服務 。 I 年 安全技術 服務 技術建議書 二○一五年十二月 II 目 錄 1. 項目概況簡述 ............................................................................................................................... 1 項目原則 ........................................................................................................................................1 2. 項目解決方案 ............................................................................................................................... 1 滲透測試解決方案 ......................................................................................................................2 代碼審計服務解決方案 .......................................................................................................... 13 基礎設備安全評估解決方案 ................................................................................................. 20 應急響應和演練解 決方案 ...................................................................................................... 50 APP 安全評估解決方案 .......................................................................................................... 53 安全加固整改建議解決方案 ................................................................................................. 60 新業(yè)務上線安全檢查解決方案 ............................................................................................. 67 安全培訓解決方案 ................................................................................................................... 67 3. 項目實施方案 ............................................................................................................................. 70 項目組成員 ................................................................................................................................ 70 項目分工界面 ............................................................................................................................ 73 工作量的計算方法及依據 ...................................................................................................... 78 項目進度 ..................................................................................................................................... 78 項目質量保證措施 ................................................................................................................... 80 4. 項目售后服務 ............................................................................................................................. 86 5. 安全工具簡述 ............................................................................................................................. 86 滲透測試工具 ............................................................................................................................ 86 代碼審計工具 ............................................................................................................................ 94 1. 項目概況 簡述 項目 原則 安全 服務的方案設計與具體實施滿足以下原則： （ 1） 保密原則：對服務的過程數據和結果數據嚴格保密，未經授權不得泄露給任何單位和個人，不得利用此數據進行任何侵害求方網絡的行為，否則求方有權追究的責任。 對服務系統(tǒng)提供周期性的安全評估 服 務。 滲透測試：主要通過對目標系統(tǒng)信息的全面收集、對系統(tǒng)中網路設備的探測、對服務器系統(tǒng)主機的漏洞掃描、對應用平臺及數據庫系統(tǒng)的安全性掃描及通過應用系統(tǒng)程序的安全性滲透測試等手段來完成對整個系統(tǒng)的安全性滲透檢測。模 擬 入侵者 的攻擊方法對應用 系統(tǒng) 、服務器系統(tǒng)和網絡 設備 進行非破壞性質的攻擊性測試。 滲透測試特點 入侵者 的攻擊入侵要利用目標網絡的安全弱點，滲透測試也是同樣的道理。 滲透測試的安全意義 從滲透測試中，客戶能夠得到的收益 有： （ 1） 協(xié)助用戶發(fā)現(xiàn)組織中的安全最短木板 一次滲透測試過程也就是一次黑客入侵實例，其中所利用到的攻擊滲透方法，也是其它具備相關技能的攻擊者所最可能利用到的方法；由滲透測試結果所暴露出來的問題，往往也是一個企業(yè)或組織中的安全最短木板，結合這些暴露出來的弱點和問題，可以協(xié)助企業(yè)有效的了解目前降低風險的最迫切任務，使在網絡安全方面的有限投入可以得到最大的回報。 （ 4） 發(fā)現(xiàn)滲透測試和信息安全風險評估未暴露的其它安全問題 目前的滲透測試，更多的仍然是從一個外部人員的角度，模擬黑客攻擊的一個過程。 滲透測試流程和授權 滲透測試流程 滲透測試 授權 測試 授權 是進行滲透測試的必要條件。主要包括網絡信息，如網絡拓補、 IP 及域名分布、網絡狀態(tài)等 服務器信息，如 OS 信息、端口及服務信息、應用系統(tǒng)情況等 漏洞信息，如跟蹤最新漏洞發(fā)布、漏洞的利用方法等 信息收集 信息收集分析幾乎是所有入侵攻擊的前提 /前奏 /基礎。通過端口掃描，可以基本確定一個系統(tǒng)的基本信息，結合測試 人員的 經驗可以確定其可能存在，以及被利用的安全弱點，為進行深層次的滲透提供依據。有用的賬號口令除了系統(tǒng)賬號如 UNIX賬號、 Windows賬號外，還包括一些數據庫賬號、 WWW 賬號、 FTP 賬號、 MAIL 賬號、 SNMP 賬號、CVS 賬號以及一些其它應用或者服務的賬號口令。 這項工作 雖然可能很耗時，但 是進行， 代碼審查 測試工作包括如下工作但不僅限于此： ? 審查代碼中的 XSS 腳本漏洞 ； ? 審查 代碼中的 SQL 注入漏洞 ； ? 審查 代碼中的潛在緩沖區(qū)溢出 ； ? 審查 識別允許惡意用戶啟動攻擊的不良代碼技術 ； ? 其他軟件 編寫錯誤及漏洞的尋找及審查 。 溢出測試 當 測試人員 無法直接利用帳戶 口令登陸系統(tǒng)時，也會采用系統(tǒng)溢出的方法直接獲得系統(tǒng)控制權限，此方法有時會導致系統(tǒng)死機或從新啟動，但不會導致系統(tǒng)數據丟失，如出現(xiàn)死機等故障，只要將系統(tǒng)從新啟動并開啟原有服務即可。許多基于 網站 的電子商務應用程序用隱藏字段 來存儲商品價格、用戶名、密碼等敏感內容。根據最新的 統(tǒng)計，腳本安全弱點為當前 Web 系統(tǒng)，尤其是存在動態(tài)內容的 Web 系統(tǒng)比較嚴重的安全弱點之一。 Cookie 利用 網站 應用系統(tǒng)常使用 cookies 機制在客戶端主機上保存某些信息，例如用戶 ID、口令、時戳等。代理程序收到指令時就發(fā)動攻擊。接下來，盡最大努力獲取本地權限，收集本地資料信息，尋求本地權限升級的機會。 保守策略選擇 對于不能接受任何可能風險的主機系統(tǒng)，如可選擇如下保守策略： 1) 復制一份目標環(huán)境，包括硬件平臺，操作系統(tǒng)，數據庫管理系統(tǒng)，應用 軟件等。 項目 中合理溝通 在 項目 實施過程中，確定不同階段的測試人員以及客戶方的配合人員，建立 直接溝通的渠道，并在 項目 出現(xiàn)難題的過程中保持合理溝通。缺點是數據量太大，不易分析； 要大容量存儲設備。 滲透測試報告應包含如下內容： 滲透結論 包括目標系統(tǒng)的安全狀況、存在的問題、滲透測試的結果等 滲透測試項目的介紹 包括項目情況、時間、參與人員、操作地點等 滲透測試過程 包括滲透測試的各個實施階段中的方法、工具、技術及其操作細節(jié)等 滲透測試的證據