信息安全技術(shù)資料-滲透-文庫(kù)吧在線文庫(kù)
【正文】 eb領(lǐng)域，而不是一個(gè)普適性的滲透測(cè)試方法指南。S 信息安全技術(shù)交流 滲透測(cè)試 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 一、關(guān)于滲透測(cè)試 二、滲透測(cè)試常見(jiàn) WEB漏洞 三、部分滲透測(cè)試工具介紹 四、安全漏洞風(fēng)險(xiǎn)等級(jí)定義 五、常見(jiàn)攻擊及防御 主講內(nèi)容 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 安全檢測(cè)主要有以下幾種方式： 滲透測(cè)試、審計(jì)和評(píng)估 。 1. 安全測(cè)試方法學(xué)開(kāi)源手冊(cè)（ OSSTMM） 2. NIST SP 80042網(wǎng)絡(luò)安全測(cè)試指南（ NIST） 3. OWASP十大 Web應(yīng)用安全威脅項(xiàng)目（ OWASP Top 10） 4. Web安全威脅分類(lèi)標(biāo)準(zhǔn)（ WASCTC） 5. PTES滲透測(cè)試執(zhí)行標(biāo)準(zhǔn)（ PTES） 滲透測(cè)試標(biāo)準(zhǔn)流程 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 針對(duì)目前最普遍的 Web應(yīng)用層，為安全測(cè)試人員和開(kāi)發(fā)者提供了如何識(shí)別與避免這些安全威脅的指南。但隱秘測(cè)試則被測(cè)單位也僅有極少數(shù)人知曉測(cè)試的存在，因此能夠有效地檢驗(yàn)單位中的信息安全事件監(jiān)控、響應(yīng)、恢復(fù)做得是否到位。 漏洞描述 風(fēng)險(xiǎn)分析 ? 直接獲取 WebShell ? 上傳木馬 后門(mén)或者病毒程序 ? 通過(guò)提權(quán)得到服務(wù)器控制權(quán) XSS跨站腳本漏洞 文件上傳漏洞 登陸權(quán)限繞過(guò) 管理帳戶(hù)弱口令 WEB服務(wù)中間件漏洞 應(yīng)用程序錯(cuò)誤 存在測(cè)試 備份文件 敏感信息泄漏 SQL注入漏洞 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 目前常見(jiàn) WEB漏洞 通過(guò)簡(jiǎn)單密碼組合猜解，一旦高權(quán)限帳戶(hù)密碼強(qiáng)度不夠，就容易被獲取，或者暴力破解，從而得到網(wǎng)站管理權(quán)限，某些可能存在缺陷的后臺(tái)功能，由于其他高危漏洞，導(dǎo)致攻擊者最終獲得整個(gè)服務(wù)器的最高權(quán)限。這些文件可能會(huì)被掃描或猜解到。 安全漏洞等級(jí)定義 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 安全漏洞等級(jí)劃分 安全漏洞的危害程度從低至高依次為：低危、中危、高危和超危 。 CC攻擊的原理就是攻擊者控制某些主機(jī)不停地發(fā)大量數(shù)據(jù)包給對(duì)方服務(wù)器造成服務(wù)器資源耗盡，一直到宕機(jī)崩潰。此外惡霸們完成這些壞事有時(shí)憑單干難以完成，需要叫上很多人一起。 漏洞描述 風(fēng)險(xiǎn)分析 ? 更新說(shuō)明文件可能存在配置信息 ? 注釋掉的代碼沒(méi)有被執(zhí)行 ? 存在代碼處理邏輯或者文件路徑信息 ? 姓名聯(lián)系方式等信息可能會(huì)被社工利用 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 安全漏洞等級(jí)標(biāo)準(zhǔn) 標(biāo)準(zhǔn)號(hào) GB/Z 209862023 中文名稱(chēng) 信息安全技術(shù) 信息安全事件分類(lèi)分級(jí)指南 英文名稱(chēng) Information security technologyGuidelines for the category and classification of Information security incidents 發(fā)布日期 20230730 實(shí)施日期 20231101 發(fā)布單位 中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局、中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì) 中國(guó)標(biāo)準(zhǔn)分類(lèi) L80 安全漏洞等級(jí)標(biāo)準(zhǔn) 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 安全漏洞等級(jí)標(biāo)準(zhǔn) 標(biāo)準(zhǔn)號(hào) GB/T 302792023 中文名稱(chēng) 信息安全技術(shù) 安全漏洞等級(jí)劃分指南 英文名稱(chēng) Information security technology— Vulnerability classification guide 發(fā)布日期 20231231 實(shí)施日期 20230715 起草單位 中國(guó)信息安全測(cè)評(píng)中心、中國(guó)科學(xué)院研究生院國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)入侵防范中心、北京航空航天大學(xué) 歸口單位 全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì) 中國(guó)標(biāo)準(zhǔn)分類(lèi) L80 安全漏洞等級(jí)標(biāo)準(zhǔn) 深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司 安全漏洞等級(jí)定義標(biāo)準(zhǔn) 安全漏洞等級(jí)劃分要素包括訪問(wèn)路徑、利用復(fù)雜度和影響程度三方面 。 漏洞描述 風(fēng)險(xiǎn)分析 ? 拒絕服務(wù)攻擊
高考資料相關(guān)推薦
鄂ICP備17016276號(hào)-1