xxx滲透測試方案(文件)
【正文】 本階段，在每個(gè)階段都會(huì)生成階段文檔，最終在完成滲透測試整個(gè)流程以后將會(huì)由項(xiàng)目經(jīng)理將三個(gè)階段的文檔進(jìn)行整理、匯總、提交給用戶。并且結(jié)合不同的漏洞也提出相應(yīng)的修補(bǔ)建議供用戶借鑒。某某提供的滲透測試流程特點(diǎn)就在于將滲透準(zhǔn)備階段及安全加固階段作為兩個(gè)獨(dú)立而重要環(huán)節(jié)貫穿于整個(gè)滲透測試過程當(dāng)中，這樣就可以結(jié)合某某在項(xiàng)目監(jiān)控管理方面的優(yōu)勢對整個(gè)滲透測試項(xiàng)目開展的規(guī)范化加以保障。l 深入化的測試需求分析某某在滲透測試開展前期，會(huì)從技術(shù)層面（網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層）著手與用戶進(jìn)行廣泛溝通，對用戶當(dāng)前的一些重要資料進(jìn)行采集、匯總、梳理、掌握，以便為滲透測試工作地開展奠定良好的基礎(chǔ)。多項(xiàng)基于漏洞研發(fā)的產(chǎn)品均獲得國際國內(nèi)的諸多榮譽(yù)以及行業(yè)廣泛認(rèn)可。修復(fù)完成后，某某滲透測試小組對修復(fù)的成果再次進(jìn)行遠(yuǎn)程測試復(fù)查，對修復(fù)的結(jié)果進(jìn)行檢驗(yàn)，確保修復(fù)結(jié)果的有效性。第一階段的測試對象和測試方法以及可能出現(xiàn)的風(fēng)險(xiǎn)情況如下表：測試對象測試方案風(fēng)險(xiǎn)等級存在風(fēng)險(xiǎn)風(fēng)險(xiǎn)控制方法工期（工作日）網(wǎng)絡(luò)設(shè)備口令破解、嗅探中口令破解可能會(huì)消耗服務(wù)器性能停止破解遠(yuǎn)程溢出類高可能出現(xiàn)未知錯(cuò)誤而宕機(jī)重啟設(shè)備協(xié)議攻擊，如路由欺騙、二層攻擊等高可能導(dǎo)致路由錯(cuò)誤，導(dǎo)致正常路由不可達(dá)重啟設(shè)備DNS系統(tǒng)層漏洞，如口令破解、嗅探、遠(yuǎn)程溢出以及已知木馬后門探測和利用等中口令破解可能會(huì)消耗服務(wù)器性能停止破解DNS軟件遠(yuǎn)程溢出類測試高可能出現(xiàn)未知錯(cuò)誤而使DNS服務(wù)無法正常運(yùn)行重啟DNS服務(wù)Cache Poison高投毒成功則造成dns無法正常解析域名查詢請求重啟DNS服務(wù)1DoS測試中嚴(yán)重影響服務(wù)器性能，嚴(yán)重時(shí)可能導(dǎo)致服務(wù)器處于假死狀態(tài)停止測試Mail系統(tǒng)層漏洞，如口令破解、嗅探、遠(yuǎn)程溢出以及已知木馬后門探測和利用等中口令破解可能會(huì)消耗服務(wù)器性能停止破解POP3口令破解中口令破解可能會(huì)消耗服務(wù)器性能停止破解MTA軟件遠(yuǎn)程溢出類測試高可能出現(xiàn)未知錯(cuò)誤而使Mail服務(wù)無法正常運(yùn)行重啟DNS服務(wù)郵件系統(tǒng)配置類缺陷，如匿名轉(zhuǎn)發(fā)，發(fā)信認(rèn)證、認(rèn)證策略等中偽造郵件欺騙客戶端收信人員或釣魚，對服務(wù)器端無危險(xiǎn)告知被欺騙的人員1客戶端欺騙中制作欺騙性郵件欺騙客戶端，從而獲取敏感信息告知被欺騙的人員ERP系統(tǒng)層漏洞，如口令破解、嗅探、遠(yuǎn)程溢出以及已知木馬后門探測和利用等中口令破解可能會(huì)消耗服務(wù)器性能停止破解ERP系統(tǒng)認(rèn)證授權(quán)類，包括暴力攻擊、認(rèn)證不充分、會(huì)話定置、會(huì)話期限不充分、憑證/會(huì)話預(yù)測和授權(quán)不充分等中口令破解可能會(huì)消耗服務(wù)器性能停止破解ERP系統(tǒng)命令執(zhí)行類，包括LDAP注入、SSI注入、SQL注入、Xpath注入、操作系統(tǒng)命令、格式字符串攻擊和緩沖區(qū)溢出等高注入類測試可能導(dǎo)致頁面或數(shù)據(jù)篡改測試時(shí)實(shí)時(shí)溝通，對于可能出現(xiàn)篡改時(shí)事先做好數(shù)據(jù)備份，并制定數(shù)據(jù)恢復(fù)方案1ERP系統(tǒng)邏輯攻擊類，包括功能濫用和拒絕服務(wù)等高拒絕服務(wù)可能導(dǎo)致服務(wù)器反應(yīng)緩慢停止測試ERP系統(tǒng)客戶端攻擊類，包括跨站點(diǎn)腳本編制和內(nèi)容電子欺騙等高對服務(wù)器無影響無ERP系統(tǒng)信息泄露類，包括可預(yù)測資源定位、路徑遍歷、目錄索引和信息泄露等中無無OA系統(tǒng)層漏洞，如口令破解、嗅探、遠(yuǎn)程溢出以及已知木馬后門探測和利用等中口令破解可能會(huì)消耗服務(wù)器性能停止破解OA認(rèn)證授權(quán)類，包括暴力攻擊、認(rèn)證不充分、會(huì)話定置、會(huì)話期限不充分、憑證/會(huì)話預(yù)測和授權(quán)不充分等中口令破解可能會(huì)消耗服務(wù)器性能停止破解OA命令執(zhí)行類，包括LDAP注入、SSI注入、SQL注入、Xpath注入、操作系統(tǒng)命令、格式字符串攻擊和緩沖區(qū)溢出等高注入類測試可能導(dǎo)致頁面或數(shù)據(jù)篡改測試時(shí)實(shí)時(shí)溝通，對于可能出現(xiàn)篡改時(shí)事先做好數(shù)據(jù)備份，并制定數(shù)據(jù)恢復(fù)方案1OA邏輯攻擊類，包括功能濫用和拒絕服務(wù)等高拒絕服務(wù)可能導(dǎo)致服務(wù)器反應(yīng)緩慢停止測試OA客戶端攻擊類，包括跨站點(diǎn)腳本編制和內(nèi)容電子欺騙等高
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1