Web渗透测试流程研究.pdfVIP

第22卷第17期 电子设计工程 2014年9月 ∑!!：丝 塑!：!! 曼!竺塑里垫里!墅鲤垦翌垒塑!堕竖 墅窑：垫!兰 Web渗透测试流程研究 宋超臣，王希忠，黄俊强，吴琼 (黑龙江省屯子信息产品监督检验院黑龙江哈尔滨150090) 摘要：随着Web技术的广泛应用，Web技术使人们生活发生了根本转变，然而Web安全也面临着前所未有的挑战， Web渗透测试技术已成为保障Web安全的一种重要手段。为提高Web渗透测试的成功率，本文在Web渗透测试流 程增加了信息收集阶段，并给出了信息收集阶段的功能定义。 关键词：Web渗透测试；信息收集；漏洞扫描；攻击测试 中圈分类号：‘IN918 文献标识码：A Web research penetrationtesting process SONGChao--chen,WANG Xi-zhong，HUANGJun--qiang．WUQiong Provbwe Products (HLJ Institute，Harbin150090，Ch／na) E拓ctronwInformationSupervisionInspection Abstract：Withthewide ofWeb has lives．Web is applicationtechnology，Webtechnologygreatlychangedpeoples security also has an of become nlean8Web facingunprecedentedchallenges,Webpenetrationtestingtechnology important security orderto theSUCCESSrateofWeb increase protection．Inimpmve penetrationtestins,thispaper the stage information-gathering inWeb penetrationtestingprocess． words：Web Key penetration testing；information-gathering；vulnerabilityscanning；attacktesting 随着信息化建设的不断深入，Web技术的日益成熟， 息收集工作，主要收集系统信息、网络拓扑信息、人员信息、 Web应用平台已被广泛应用在电子政务、电子商务等领域， 单位信息、互联网注册信息等，如图l所示。信息收集完成 不断向公众提供各种信息和服务。可以说，Web技术极大地 后，应制定出目标系统的基本结构、生成必要的密码字典，为 改变了人们工作和生活方式，网上购物已成为人们日常生活 进一步攻击奠定基础。在漏洞扫描阶段主要根据收集到的信 非常重要的一部分。由于web应用及其运行环境天然的脆弱 息进一步确定信息系统存在的漏洞，包括主机、WEB应用程 性，web应用软件经常容易出现安全问题【q。近年来，洛克希序、网