信息安全技术资料-渗透.ppt

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * Metasploit Hackbar 网安网_网络安全服务_计算机司法鉴定_网络安全评估_深圳等级保护 目前常见WEB漏洞 攻击者可通过SQL注入对数据库进行查询、篡改等常规操作，执行权限允许的情况下，可以清空整个数据库。同时，攻击者也可通过SQL注入漏洞调用存储过程，执行系统命令、利用备份写入后门木马等操作。 漏洞描述 风险分析 绕过登陆验证 获取数据库数据 篡改数据库 执行危险存储过程 目前常见WEB漏洞 攻击者可利用该漏洞，提交构造的跨站代码，在用户非自愿的情况下执行恶意脚本，导致会话、Cookie等信息被窃取，通过窃取到的认证信息，伪造身份进行攻击。 漏洞描述 风险分析 执行恶意代码 窃取用户会话信息 获得管理权限 伪造身份进行攻击 目前常见WEB漏洞 由于WEB应用存在的某些缺陷，攻击者可以无视上传规则，上传非法文件，导致上传WebShell木马、后门程序，或者提权、破坏服务器内容。 漏洞描述 风险分析 直接获取WebShell 上传木马后门或者病毒程序 通过提权得到服务器控制权 目前常见WEB漏洞 通过简单密码组合猜解，一旦高权限帐户密码强度不够，就容易被获取，或者暴力破解，从而得到网站管理权限，某些可能存在缺陷的后台功能，由于其他高危漏洞，导致攻击者最终获得整个服务器的最高权限。 漏洞描述 风险分析 用户密码被猜解 管理权限泄漏 后台可能存在其他高风险漏洞 目前常见WEB漏洞 由于WEB应用逻辑缺陷，页面存在验证不足的情况下，低权限帐号可能越权访问应用功能，或者绕过登陆验证直接进入后台。 漏洞描述 风险分析 绕过登陆验证 越权访问应用功能 篡改后台设置 利用其他后台漏洞进一步攻击 目前常见WEB漏洞 WEB服务器程序通过不断的更新和升级，来修复程序中存在的各种漏洞。低版本可能存在高版本中已知的高危漏洞，如果没有及时升级更新或者使用的WEB服务器程序版本过低，就有可能存在没有被修复的漏洞。 漏洞描述 风险分析 拒绝服务攻击 溢出攻击 任意命令执行 敏感信息泄漏 目前常见WEB漏洞 应用程序错误信息，在WEB应用开发期间，可以帮助开发人员快速找到Bug，修复和完善应用程序。在部署运行时，可能存在容错机制不完善，没有严格处理5xx错误等信息，导致应用程序错误信息直接暴露在浏览者面前。 漏洞描述 风险分析 应用程序代码细节泄漏(SQL字段，代码逻辑) WEB应用错误暴露绝对路径 泄漏服务器环境信息 目前常见WEB漏洞 在测试服务器环境和配置的时候，可能会遗留一些测试文件。在后期维护中，操作者一时疏忽大意，往往随意重命名来保存备份文件。这些文件可能会被扫描或猜解到。 漏洞描述 风险分析 测试文件会泄漏服务器环境信息 备份文件可能存在源代码细节 设置或者配置文件泄漏 目前常见WEB漏洞 WEB应用在开发或者维护中，可能会存在注释，说明等信息。比如版本更新之后的说明文件，或者源文件中的注释说明，以及暂时注释掉的代码片段，联系方式和姓名等信息。攻击者可能会收集这些信息，进行社会工程学攻击。 漏洞描述 风险分析 更新说明文件可能存在配置信息 注释掉的代码没有被执行 存在代码处理逻辑或者文件路径信息 姓名联系方式等信息可能会被社工利用 安全漏洞等级标准 标准号 GB/Z 20986-2007 中文名称 信息安全技术 信息安全事件分类分级指南 英文名称 Information security technology-Guidelines for the category and classification of Information security incidents 发布日期 2007-07-30 实施日期 2007-11-01 发布单位 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 中国标准分类 L80 安全漏洞等级标准 安全漏洞等级标准 标准号 GB/T 30279-2013 中文名称 信息安全技术 安全漏洞等级划分指南 英文名称 Information security technology—Vulnerability classification guide 发布日期 2013-12-31 实施日期 2014-07-15 起草单位 中国信息安全测评中心、中国科学院研究生院国家计算机网络入侵防范中心、北京航空航天大学 归口单位 全国信息安全标准化技术委员会 中国标准分类 L80 安全漏洞等级标准 安全漏洞等级定义标准 安全漏洞等级划分要素包括访问路径、利用复杂度和影响程度三方面。 访问路径 访问路径的赋值包括：本地、邻接和远程，通常可被远程利用的安全漏洞危害程度