从网站安全谈网站渗透测试.pptVIP

TSTC 天津市软件评测中心 从网站安全谈网站渗透测试 Web Security Testing 天津市软件评测中心 谷杰 Internet 已经和我们的生活密不可分 黑客门槛的降低和有组织化变迁 工具小子 脚本小子 各种黑客网站 各大网站发布的漏洞信息 有组织的黑客攻击 基于利益为目的的黑客攻击 网站安全的突出化 百度安全事件 2010年 1月29日，湖南省某政府网站被黑，黑客留言对网站审批制度不满。 某男子通过修改DNS域名解析记录，将黑客的攻击转到某公安机关网站，最终导致其被攻陷瘫痪。 1月4日至10日，境内被篡改政府网站数量为178个 。 网站安全威胁逐年提升的原因 低成本、高获利 各种工具的流行 应用安全的忽视 发动机和中转站 网站攻击的目的和方式 获得管理权限 SQL 注入 暴力破解 漏洞攻击 配置错误攻击 利用网站进行病毒、木马的传播 跨站脚本、病毒 SQL Injection SQL Injection是通过页面中的输入来欺骗使得其可以运行我们构造的查询或者别的命令。 SQL Injection 连续几年进入Web十大安全隐患，并且是最容易发现的漏洞。 当你发现一个网站不能很好的处理单引号的时候，那么你们就可以尝试SQL Injection。 SQL Injection 续 收集信息 抓取密码 创建数据库帐号 获得系统服务名和配置 SQL Injection高级 如何骗过IDS等检测工具 使用Char(70) 使用特殊字符 SQL Injection 检测 单引号 特殊字符测试 Char() 工具为主、手工为辅 XSS 　XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。 XSS 续一 跨站攻击有多种方式，由HTML语言允许使用脚本进行简单交互，入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie），由于Cookie保存了完整的用户名和密码资料，用户就会遭受安全损失。当然，攻击者有时也会在网页中加入一些以.JS或.VBS为后尾名的代码时，在我们浏览时，同样我们也会被攻击到。 XSS 续二 XSS Cookie 盗窃 XSS fishing XSS 蠕虫 XSS Proxy XSS 测试 理解XSS XSS的触发条件 小心XSS转码 关注 构造你的XSS测试脚本库 Fuzz Testing Fuzz testing,中文可以翻译为模糊测试，简单的说来就是构造一些random或者unexpected的数据作为程序的输入，观察程序在这种情况下的工作状况。。 在模糊测试中，用随机坏数据（也称做 fuzz）攻击一个程序，然后等着观察哪里遭到了破坏在模糊测试中，用随机坏数据（也称做 fuzz）攻击一个程序，然后等着观察哪里遭到了破坏 Fuzz testing经过精心构造的数据不亚于白盒测试的效率。 Fuzz Testing 续 在对一个网站进行渗透测试的时候 http报文注入，获得该机器的权限 random的http报文，使http server(IIS/Apache/...)服务不可用 /fuzzer/ /~bart/fuzz/fuzz.html /developerworks/cn/java/j-fuzztest.html Fuzz Testing 的一些网站 谢谢，大家! Email：gj@ TSTC 天津市软件评测中心