項目一網(wǎng)站系統(tǒng)滲透測試報告(存儲版)
【正文】 he tomcat存在漏洞通過XX公司安全人員對apache tomcat手工測試發(fā)現(xiàn)，XXXX網(wǎng)站由于配置原因存在目錄過濾不嚴(yán)，可瀏覽任意web目錄漏洞如下：1. :8080/XXXXXX/Library/ 2. :8080/XXXXXX/doc/database/3. :8080/manager/4. :8080/XXXXXX/5. :8080/tphealth/yw/6. :8080/tphealth/include/7. :8080/card/yw/其中:8080/XXXXXX/doc/database/目錄下有oracle數(shù)據(jù)庫配置文件見下圖： 圖一：數(shù)據(jù)庫配置文件圖這是Web服務(wù)器常見的Apache設(shè)置錯誤，惡意用戶可以讀取任意可讀文件。同時，對于無法準(zhǔn)確判斷結(jié)果的程序，我們的WEB應(yīng)用掃描軟件提供了交互式漏洞挖掘工具，可以準(zhǔn)確判斷目標(biāo)應(yīng)用系統(tǒng)是否存在安全漏洞。XXXX有限公司網(wǎng)站系統(tǒng)滲透測試報告 2011年3月2日 目 錄一、概述 3 滲透測試范圍 3 滲透測試主要內(nèi)容 3二、脆弱性分析方法 4 4三、滲透測試過程描述 5 5 5 6 6 8 8 CGI漏洞掃描 9 9 驗證登陸漏洞 10 跨站腳本漏洞挖掘 11 SQL注射漏洞挖掘 12 17四、分析結(jié)果總結(jié) 18 一、概述按照江蘇電信網(wǎng)上營業(yè)廳滲透測試授權(quán)書時間要求，我們從2011年2月15日至2011年2月某25期間，對網(wǎng)上營業(yè)廳官方網(wǎng)站系統(tǒng)://.*.，同時結(jié)合南京青苜信息技術(shù)有限公司安全專家的手工分析，兩者匯總得到了該分析報告。WEB應(yīng)用掃描軟件首先對目標(biāo)站點進行分析，獲取目標(biāo)應(yīng)用系統(tǒng)的組織結(jié)構(gòu)，然后找出可能存在問題的程序，并且獲取這些程序允許的參數(shù)輸入，然后根據(jù)知識庫中的內(nèi)容，精心構(gòu)造一些特殊的請求，然后發(fā)送給服務(wù)器，并且最終服務(wù)器會把請求交給該程序處理，通過分析服務(wù)器返回的響應(yīng)，我們就可以判斷出目標(biāo)應(yīng)用系統(tǒng)存在什么漏洞，漏洞位于什么程序，是哪個參數(shù)出現(xiàn)了問題。如果這些目錄沒有做好權(quán)限設(shè)置，那么極有可能導(dǎo)致網(wǎng)站后臺失陷于此。這些文件很有可能就是網(wǎng)站的一些重要文件的備份信息，或者是網(wǎng)站管理員忘記刪除
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1