一种自动化的渗透测试系统的设计与实现.pdfVIP

第27卷第4期 计 算 机 应 用 研 究 Vo1．27No．4 2010年 4月 ApplieationResearchofComputers Apr．2010 一 种 自动化的渗透测试系统的设计与实现术 邢 斌 ，高 岭 ，孙 骞 ，杨 威 (1．西北大学信息科学与技术学院，西安 710127；2．西北大学 现代教育技术中心，西安710069) 摘 要 ：为了减少传统渗透测试中人力资源投入的浪费，摆脱测试过程 中对测试者专业技能的依赖 ，提高测试 效率，缩短测试周期，完善测试结果，设计并实现 了一种基于SNMP、多源漏洞库以及基于NASL插件的 自动化渗 透测试系统。该系统完全可以实现对被测网络及设备的信息探测、漏洞评估、渗透攻击和报告生成，可以自动完 成渗透测试而不依赖于测试人员的知识经验，可以明显提高渗透测试的效率及其方便性、完整性和准确性。 关键词：简单网络管理协议；多源漏洞库；Nessus攻击脚本语言；渗透测试 中图分类号：Tff391 文献标志码 ：A 文章编号 ：1001—3695(2010)04一I384—04 doi：10．3969／j．issn．1001—3695．2010．04．048 Designandimplementationofautomatedpenetrationtestingsystem XINGBin，GAOLing．SUNQian ，YANGWei (1．CollegeofInformationSc~rweTechnoolgy，NoahwestUniversity，Xi’an710127，China；2．ModernEducationalTechnologyCenter， NorthwestUniversity，Xi’an710069，China) Abstract：Toreducethewasteofhumanresourcesintraditionalpenetrationtesting，toshakeoffdependenceonthepmfes— sional skillsoftesterduringthetestprocessandimprovetestefficiency，shortentestcycle，andimprovetestresults，thispaper designedandimplementedanautomatedpenetrationtestingsystem basedonSNMP，multi—sourcevulnerabilitydatabaseanda plug-inmechanism whichwasbasedontheNASL．Thesystem coulddetectthenetworkanddeviceinformationwell，vulnera— bilityassessment，penetrationattack，generatereport．Then，itcouldautomaticallycompletethepenetrationtesting，notde- pendingontheknowledgeandexperienceoftesters，significantlyimprovedtheefficiencyandconvenience，integrity，accuracy ofpenetrationtesting． Keywords：SNMP；multi—sourcevulnerabilitydatabase；NASL；penetrationtesting 并且该模型还规范了每个阶段的执行工作及输出结果，为渗透 0 引言 测试的规范化提供了很好的依据；由美国国家标准和技术研究