xxx公司滲透測試方案(編輯修改稿)
2025-07-04 08:23 本頁面
【文章內(nèi)容簡介】 中保持在可信狀態(tài)。 系統(tǒng)自帶工具以下列出了主要應(yīng)用到的系統(tǒng)自帶網(wǎng)絡(luò)應(yīng)用、管理和診斷工具，某某滲透測試工程師將用到但不限于只使用以下系統(tǒng)命令進(jìn)行滲透測試。工具名稱風(fēng)險等級獲取途徑主要用途存在風(fēng)險描述風(fēng)險控制方法ping無系統(tǒng)自帶獲取主機(jī)信息無無telnet無系統(tǒng)自帶登錄系統(tǒng)無無ftp無系統(tǒng)自帶傳輸文件無無tracert無系統(tǒng)自帶獲取網(wǎng)絡(luò)信息無無net use無系統(tǒng)自帶建立連接無無net user無系統(tǒng)自帶查看系統(tǒng)用戶無無echo無系統(tǒng)自帶文件輸出無無nslookup無系統(tǒng)自帶獲取主機(jī)信息無無IE無系統(tǒng)自帶獲得web信息、進(jìn)行SQL注入無無 自由軟件和滲透測試工具以下列出了滲透測試中常用到的網(wǎng)絡(luò)掃描工具、網(wǎng)絡(luò)管理軟件等工具，這些工具都是網(wǎng)絡(luò)上的免費(fèi)軟件。某某滲透測試工程師將可能利用到但是不限于利用以下工具。遠(yuǎn)程溢出代碼和本地溢出代碼需要根據(jù)具體系統(tǒng)的版本和漏洞情況來選擇，由于種類繁雜并且沒有代表性，在這里不會一一列出。工具名稱風(fēng)險等級獲取途徑主要用途存在風(fēng)險描述風(fēng)險控制方法nmap無獲取主機(jī)開放的服務(wù)、端口信息無無nessus低對主機(jī)進(jìn)行漏洞掃描可能造成網(wǎng)絡(luò)資源的占用如果主機(jī)負(fù)載過高，停止掃描。Retina低對主機(jī)進(jìn)行漏洞掃描可能造成網(wǎng)絡(luò)資源的占用如果主機(jī)負(fù)載過高，停止掃描。nc無端口連接工具無無遠(yuǎn)程溢出工具中通過漏洞遠(yuǎn)程進(jìn)入系統(tǒng)溢出程序可能造成服務(wù)不穩(wěn)定備份數(shù)據(jù)，服務(wù)異常時重啟服務(wù)。本地溢出工具中通過漏洞本地提升權(quán)限溢出程序可能造成服務(wù)不穩(wěn)定備份數(shù)據(jù)，服務(wù)異常時重啟服務(wù)。三. 項目實施計劃XXX信息系統(tǒng)服務(wù)器主要包括域控、DNS、Mail、ERP、OA、檔案、桌面管理、節(jié)點監(jiān)控、財務(wù)和Web等約12臺，其中DNS、Mail、ERP、OA和Web等6臺服務(wù)器可以通過互聯(lián)網(wǎng)直接訪問。根據(jù)項目服務(wù)目標(biāo)和項目服務(wù)內(nèi)容，可將整個項目包括項目溝通、方案制定、信息收集、測試實施、報告輸出和安全復(fù)查，項目實施計劃表如下：項目階段實施內(nèi)容工期啟動階段項目啟動協(xié)調(diào)會實施階段方案制定根據(jù)XXX信息系統(tǒng)實際情況制定詳細(xì)測試方案、測試方法以及測試工具的準(zhǔn)備。1工作日信息收集利用公開域查詢、掃描、嗅探以及社會工程學(xué)等手段收集XXX信息系統(tǒng)大量信息，從中提取有用信息。2工作日測試實施對前期收集的敏感或者漏洞信息進(jìn)行利用，控制部分服務(wù)器；然后利用被控制的服務(wù)器作為跳板，繞過安全設(shè)備的限制，對內(nèi)網(wǎng)進(jìn)行滲透。22工作日報告輸出對前期的工作和測試成果進(jìn)行匯總，并制定安全修復(fù)建議，最后編寫相應(yīng)報告。1工作日安全復(fù)查修復(fù)完成后對修復(fù)結(jié)果進(jìn)行復(fù)查，檢測修復(fù)效果，并完成復(fù)查報告。1工作日驗收階段項目驗收報告會 方案制定某某遠(yuǎn)程滲透測試小組根據(jù)XXX信息系統(tǒng)的規(guī)模和實際業(yè)務(wù)情況制定詳細(xì)的滲透測試方案，包括測試方法的選擇、測試工具的準(zhǔn)備已經(jīng)分析測試過程中可能帶來的風(fēng)險分析和相應(yīng)的風(fēng)險規(guī)避方法。 信息收集在信息收集階段的測試方法、測試內(nèi)容以及可能存在的風(fēng)險情況如下表所示：測試方法測試內(nèi)容風(fēng)險等級存在風(fēng)險風(fēng)險控制方法工期（工作日）公開域信息收集通過whois、nslookup、baidu、google等方法搜索XXX信息系統(tǒng)的公開域信息。無無無 掃描對XXX信息系統(tǒng)暴露在互聯(lián)網(wǎng)的網(wǎng)絡(luò)、系統(tǒng)、主機(jī)和應(yīng)用程序進(jìn)行遠(yuǎn)程漏洞掃描，并對掃描結(jié)果進(jìn)行分析。低特別是對應(yīng)用程序的掃描會使用海量的測試用例進(jìn)行測試，可能消耗服務(wù)器一定性能終止掃描1社會工程學(xué)利用社會工程學(xué)原理獲取XXX信息系統(tǒng)敏感信息無無無 測試實施測
語文相關(guān)推薦
鄂ICP備17016276號-1