測試應(yīng)用程序的安全性(參考版)
2025-01-21 08:23本頁面
【正文】 （五）數(shù)字取證測試 利用系統(tǒng)中的日志、審計(jì)、 Cookies、歷史記錄等功能，驗(yàn)證應(yīng)用服務(wù)器遭到攻擊后是否留下痕跡，便于取證。可以使用網(wǎng)頁木馬生成器方便地生成木馬?？梢岳眠@些典型病毒和木馬測試應(yīng)用服務(wù)器系統(tǒng)的防護(hù)能力，驗(yàn)證服務(wù)器檢測到病毒時(shí)的應(yīng)急能力。 課程概述 應(yīng)用服務(wù)器的安全性測試技術(shù) （四）使用計(jì)算機(jī)病毒及木馬測試系統(tǒng)的防護(hù)能力 最典型的計(jì)算機(jī)病毒和木馬有“木馬代理”、“網(wǎng)游大盜”、“艾妮”、“熊貓燒香”、 “ 木馬”、“灰鴿子”等?？蓽y試輸入的密碼是否對大小寫敏感、是否有長度和條件限制、最多可以嘗試多少次登錄等情況。檢查能否記錄管理員的用戶名和口令。采用窮舉法、漏洞利用和字典法等方法破解系統(tǒng)用戶密碼，常用工具有： L0phtcrack 、 Crackerjack、 John the Ripper 等，在試著破解前用 pwdump5來獲取密碼的哈希，可參考網(wǎng)站： SQL Server 弱口令測試 ：用 工具測試 SQL Server 數(shù)據(jù)庫應(yīng)用系統(tǒng)是否有默認(rèn)用戶 SA 及弱口令。常見的郵件炸彈軟件有 KaBoom!、 Avalanche 等。 課程概述 應(yīng)用服務(wù)器的安全性測試技術(shù) Email 炸彈攻擊測試。 SYN Flood 攻擊：從隨機(jī)的或欺騙來的 IP 地址產(chǎn)生大量的 SYN數(shù)據(jù)包，導(dǎo)致合法請求被拒絕。 Teardrop 攻擊：對接收到的分片數(shù)據(jù)包進(jìn)行分析，計(jì)算數(shù)據(jù)包的片偏移量 (Offset)是否有誤。 Ping Of Death 攻擊：判斷數(shù)據(jù)包的大小是否大于 65535 個(gè)字節(jié)。 拒絕服務(wù)攻擊測試。針對 Windows Web 服務(wù)器中的目錄遍歷漏洞（ CVE20220333），可采用如下方法測試。 課程概述 應(yīng)用服務(wù)器的安全性測試技術(shù) （三）模擬攻擊測試 采用拒絕服務(wù)、緩沖區(qū)溢出攻擊、密碼破解攻擊等方法進(jìn)行測試。還有很多掃描工具，如：著名的 COPS、 Tiger、 Fluxay5（流光）、 Xscan、 NStealth、 Metasploit Framework（ 上免費(fèi)下載。服務(wù)器漏洞掃描的工具很多，基于 Linux的掃描工具有 Namp、 Netcat、 Nessus。 Packet Storm 組織是由一些致力于提供必要信息以安全化全球網(wǎng)絡(luò)的安全專業(yè)人士組成的非盈利組織，在其網(wǎng)站上可以找到許多安全信息，如 Windows 中緩沖區(qū)溢出漏洞、 Unix主機(jī)中遠(yuǎn)程過程調(diào)用（ RPC）的安全
試題試卷相關(guān)推薦
鄂ICP備17016276號-1