xxx公司滲透測(cè)試方案-資料下載頁
2025-06-07 08:23本頁面
【正文】 解可能會(huì)消耗服務(wù)器性能停止破解WEB系統(tǒng)命令執(zhí)行類，包括LDAP注入、SSI注入、SQL注入、Xpath注入、操作系統(tǒng)命令、格式字符串攻擊和緩沖區(qū)溢出等高注入類測(cè)試可能導(dǎo)致頁面或數(shù)據(jù)篡改測(cè)試時(shí)實(shí)時(shí)溝通，對(duì)于可能出現(xiàn)篡改時(shí)事先做好數(shù)據(jù)備份，并制定數(shù)據(jù)恢復(fù)方案2WEB系統(tǒng)邏輯攻擊類，包括功能濫用和拒絕服務(wù)等高拒絕服務(wù)可能導(dǎo)致服務(wù)器反應(yīng)緩慢停止測(cè)試1WEB系統(tǒng)客戶端攻擊類，包括跨站點(diǎn)腳本編制和內(nèi)容電子欺騙等高對(duì)服務(wù)器無影響無1WEB系統(tǒng)信息泄露類，包括可預(yù)測(cè)資源定位、路徑遍歷、目錄索引和信息泄露等中無無1經(jīng)過第一階段的測(cè)試，如果控制部分服務(wù)器后則進(jìn)入第二階段的測(cè)試；如果第一階段測(cè)試的目標(biāo)服務(wù)器處于較安全的狀態(tài)，測(cè)試人員未能控制部分部分服務(wù)器，則選取一臺(tái)外網(wǎng)服務(wù)器，假設(shè)已被控制，再進(jìn)入第二階段測(cè)試。第二階段的測(cè)試對(duì)象和測(cè)試方法以及可能出現(xiàn)的風(fēng)險(xiǎn)情況如下表：測(cè)試對(duì)象測(cè)試方案風(fēng)險(xiǎn)等級(jí)存在風(fēng)險(xiǎn)風(fēng)險(xiǎn)控制方法工期（工作日）內(nèi)網(wǎng)服務(wù)器口令破解、嗅探中口令破解可能會(huì)消耗服務(wù)器性能；網(wǎng)絡(luò)嗅探可能出現(xiàn)短暫斷網(wǎng)現(xiàn)象停止破解或者停止嗅探遠(yuǎn)程溢出類高可能出現(xiàn)未知錯(cuò)誤而宕機(jī)重啟服務(wù)器內(nèi)網(wǎng)客戶端口令破解、嗅探中口令破解可能會(huì)影響網(wǎng)絡(luò)性能；網(wǎng)絡(luò)嗅探可能出現(xiàn)短暫斷網(wǎng)現(xiàn)象停止破解或者停止嗅探遠(yuǎn)程溢出類高可能出現(xiàn)未知錯(cuò)誤而宕機(jī)重啟客戶端控制域服務(wù)器高無無0 報(bào)告輸出測(cè)試人員匯總整理前期工作內(nèi)容和成果，并根據(jù)XXX信息系統(tǒng)實(shí)際制定可行的安全修復(fù)方案，最后形成《遠(yuǎn)程滲透測(cè)試報(bào)告》。此過程共需1個(gè)人日。 安全復(fù)查滲透測(cè)試完成后，某某協(xié)助XXX對(duì)已發(fā)現(xiàn)的安全隱患進(jìn)行修復(fù)。修復(fù)完成后，某某滲透測(cè)試小組對(duì)修復(fù)的成果再次進(jìn)行遠(yuǎn)程測(cè)試復(fù)查，對(duì)修復(fù)的結(jié)果進(jìn)行檢驗(yàn)，確保修復(fù)結(jié)果的有效性。最終完成《滲透測(cè)試復(fù)查報(bào)告》。此過程共需1個(gè)人日。四. 交付成果最終提交如下交付物件：《XXX信息系統(tǒng)遠(yuǎn)程滲透測(cè)試報(bào)告》《XXX信息系統(tǒng)遠(yuǎn)程滲透測(cè)試復(fù)查報(bào)告》五. 某某滲透測(cè)試的優(yōu)勢(shì)某某滲透測(cè)試優(yōu)勢(shì)l 專業(yè)化的滲透測(cè)試團(tuán)隊(duì)某某擁有國(guó)內(nèi)知名的漏洞研究團(tuán)隊(duì)，對(duì)漏洞的研究成果已經(jīng)應(yīng)用到了很多的安全產(chǎn)品當(dāng)中。多項(xiàng)基于漏洞研發(fā)的產(chǎn)品均獲得國(guó)際國(guó)內(nèi)的諸多榮譽(yù)以及行業(yè)廣泛認(rèn)可。某某滲透測(cè)試服務(wù)開展相對(duì)較早，經(jīng)驗(yàn)非常豐富，曾經(jīng)參與過很多大型網(wǎng)站的滲透測(cè)試工作（奧運(yùn)會(huì)官網(wǎng)、國(guó)網(wǎng)等），并且在奧運(yùn)會(huì)期間某某滲透測(cè)試團(tuán)隊(duì)曾為很多具有影響力和關(guān)鍵性網(wǎng)站提供了信息安全保障服務(wù)。滲透測(cè)試團(tuán)隊(duì)會(huì)根據(jù)項(xiàng)目的規(guī)模有選擇性的申請(qǐng)部分漏洞研發(fā)團(tuán)隊(duì)專家參與到項(xiàng)目中，共同組成臨時(shí)的滲透測(cè)試小組，面向用戶提供深層次、多角度、全方位的滲透測(cè)試。注：某某至今維護(hù)著國(guó)內(nèi)最大中文漏洞庫，并具有基礎(chǔ)漏洞分析定位能力。l 深入化的測(cè)試需求分析某某在滲透測(cè)試開展前期，會(huì)從技術(shù)層面（網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層）著手與用戶進(jìn)行廣泛溝通，對(duì)用戶當(dāng)前的一些重要資料進(jìn)行采集、匯總、梳理、掌握，以便為滲透測(cè)試工作地開展奠定良好的基礎(chǔ)。除了技術(shù)層面以外，某某也將會(huì)根據(jù)用戶滲透測(cè)試的目標(biāo)以及提出的需求著重對(duì)于用戶的業(yè)務(wù)層面進(jìn)行分析，并且將分析結(jié)果應(yīng)用于滲透測(cè)試當(dāng)中， 做到明確所有需求的基礎(chǔ)上準(zhǔn)確而深入的貫徹用戶的意圖，將滲透測(cè)試的目標(biāo)與業(yè)務(wù)系統(tǒng)連續(xù)性運(yùn)行保障緊密的結(jié)合起來。l 規(guī)范化的滲透測(cè)試流程某某滲透測(cè)試流程分為準(zhǔn)備、滲透以及加固三個(gè)基本階段，在每個(gè)階段都會(huì)生成階段文檔，最終在完成滲透測(cè)試整個(gè)流程以后將會(huì)由項(xiàng)目經(jīng)理將三個(gè)階段的文檔進(jìn)行整理、匯總、提交給用戶。并且針對(duì)過程中遇到的問題向用戶進(jìn)行匯報(bào)。某某提供的滲透測(cè)試流程特點(diǎn)就在于將滲透準(zhǔn)備階段及安全加固階段作為兩個(gè)獨(dú)立而重要環(huán)節(jié)貫穿于整個(gè)滲透測(cè)試過程當(dāng)中，這樣就可以結(jié)合某某在項(xiàng)目監(jiān)控管理方面的優(yōu)勢(shì)對(duì)整個(gè)滲透測(cè)試項(xiàng)目開展的規(guī)范化加以保障。l 全面化的滲透測(cè)試內(nèi)容某某滲透測(cè)試內(nèi)容基本圍繞技術(shù)層面（系統(tǒng)層、應(yīng)用層、網(wǎng)絡(luò)層）進(jìn)行開展，并且針對(duì)不同層面的安全漏洞及威脅某某提供了一系列滲透測(cè)試方法及流程。并且結(jié)合不同的漏洞也提出相應(yīng)的修補(bǔ)建議供用戶借鑒
語文相關(guān)推薦
鄂ICP備17016276號(hào)-1