xxx滲透測試方案-資料下載頁
2025-06-07 07:49本頁面
【正文】 QL注入、Xpath注入、操作系統(tǒng)命令、格式字符串攻擊和緩沖區(qū)溢出等高注入類測試可能導(dǎo)致頁面或數(shù)據(jù)篡改測試時實時溝通，對于可能出現(xiàn)篡改時事先做好數(shù)據(jù)備份，并制定數(shù)據(jù)恢復(fù)方案2WEB系統(tǒng)邏輯攻擊類，包括功能濫用和拒絕服務(wù)等高拒絕服務(wù)可能導(dǎo)致服務(wù)器反應(yīng)緩慢停止測試1WEB系統(tǒng)客戶端攻擊類，包括跨站點腳本編制和內(nèi)容電子欺騙等高對服務(wù)器無影響無1WEB系統(tǒng)信息泄露類，包括可預(yù)測資源定位、路徑遍歷、目錄索引和信息泄露等中無無1經(jīng)過第一階段的測試，如果控制部分服務(wù)器后則進入第二階段的測試；如果第一階段測試的目標服務(wù)器處于較安全的狀態(tài)，測試人員未能控制部分部分服務(wù)器，則選取一臺外網(wǎng)服務(wù)器，假設(shè)已被控制，再進入第二階段測試。第二階段的測試對象和測試方法以及可能出現(xiàn)的風險情況如下表：測試對象測試方案風險等級存在風險風險控制方法工期（工作日）內(nèi)網(wǎng)服務(wù)器口令破解、嗅探中口令破解可能會消耗服務(wù)器性能；網(wǎng)絡(luò)嗅探可能出現(xiàn)短暫斷網(wǎng)現(xiàn)象停止破解或者停止嗅探遠程溢出類高可能出現(xiàn)未知錯誤而宕機重啟服務(wù)器內(nèi)網(wǎng)客戶端口令破解、嗅探中口令破解可能會影響網(wǎng)絡(luò)性能；網(wǎng)絡(luò)嗅探可能出現(xiàn)短暫斷網(wǎng)現(xiàn)象停止破解或者停止嗅探遠程溢出類高可能出現(xiàn)未知錯誤而宕機重啟客戶端控制域服務(wù)器高無無0 報告輸出測試人員匯總整理前期工作內(nèi)容和成果，并根據(jù)XXX信息系統(tǒng)實際制定可行的安全修復(fù)方案，最后形成《遠程滲透測試報告》。此過程共需1個人日。 安全復(fù)查滲透測試完成后，某某協(xié)助XXX對已發(fā)現(xiàn)的安全隱患進行修復(fù)。修復(fù)完成后，某某滲透測試小組對修復(fù)的成果再次進行遠程測試復(fù)查，對修復(fù)的結(jié)果進行檢驗，確保修復(fù)結(jié)果的有效性。最終完成《滲透測試復(fù)查報告》。此過程共需1個人日。四. 交付成果最終提交如下交付物件：《XXX信息系統(tǒng)遠程滲透測試報告》《XXX信息系統(tǒng)遠程滲透測試復(fù)查報告》五. 某某滲透測試的優(yōu)勢某某滲透測試優(yōu)勢l 專業(yè)化的滲透測試團隊某某擁有國內(nèi)知名的漏洞研究團隊，對漏洞的研究成果已經(jīng)應(yīng)用到了很多的安全產(chǎn)品當中。多項基于漏洞研發(fā)的產(chǎn)品均獲得國際國內(nèi)的諸多榮譽以及行業(yè)廣泛認可。某某滲透測試服務(wù)開展相對較早，經(jīng)驗非常豐富，曾經(jīng)參與過很多大型網(wǎng)站的滲透測試工作（奧運會官網(wǎng)、國網(wǎng)等），并且在奧運會期間某某滲透測試團隊曾為很多具有影響力和關(guān)鍵性網(wǎng)站提供了信息安全保障服務(wù)。滲透測試團隊會根據(jù)項目的規(guī)模有選擇性的申請部分漏洞研發(fā)團隊專家參與到項目中，共同組成臨時的滲透測試小組，面向用戶提供深層次、多角度、全方位的滲透測試。注：某某至今維護著國內(nèi)最大中文漏洞庫，并具有基礎(chǔ)漏洞分析定位能力。l 深入化的測試需求分析某某在滲透測試開展前期，會從技術(shù)層面（網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層）著手與用戶進行廣泛溝通，對用戶當前的一些重要資料進行采集、匯總、梳理、掌握，以便為滲透測試工作地開展奠定良好的基礎(chǔ)。除了技術(shù)層面以外，某某也將會根據(jù)用戶滲透測試的目標以及提出的需求著重對于用戶的業(yè)務(wù)層面進行分析，并且將分析結(jié)果應(yīng)用于滲透測試當中， 做到明確所有需求的基礎(chǔ)上準確而深入的貫徹用戶的意圖，將滲透測試的目標與業(yè)務(wù)系統(tǒng)連續(xù)性運行保障緊密的結(jié)合起來。l 規(guī)范化的滲透測試流程某某滲透測試流程分為準備、滲透以及加固三個基本階段，在每個階段都會生成階段文檔，最終在完成滲透測試整個流程以后將會由項目經(jīng)理將三個階段的文檔進行整理、匯總、提交給用戶。并且針對過程中遇到的問題向用戶進行匯報。某某提供的滲透測試流程特點就在于將滲透準備階段及安全加固階段作為兩個獨立而重要環(huán)節(jié)貫穿于整個滲透測試過程當中，這樣就可以結(jié)合某某在項目監(jiān)控管理方面的優(yōu)勢對整個滲透測試項目開展的規(guī)范化加以保障。l 全面化的滲透測試內(nèi)容某某滲透測試內(nèi)容基本圍繞技術(shù)層面（系統(tǒng)層、應(yīng)用層、網(wǎng)絡(luò)層）進行開展，并且針對不同層面的安全漏洞及威脅某某提供了一系列滲透測試方法及流程。并且結(jié)合不同的漏洞也提出相應(yīng)的修補建議供用戶借鑒。 19
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1