- 1、本文档共14页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
appscan安全测试报告
中国石化资金集中管理信息系统 Web应用安全测试报告 1.简介 本文针对中国石化资金集中管理信息系统,采用IBMRational的安全测试产品AppScan进行安全测试,并基于此次测试的结果进行分析。 中国石化资金集中管理信息系统应用特点 中国石化资金集中管理信息系统应用采用作为应用服务器,系统使用基于Spring的Acegi进行安全认证和授权;其中还大量采用了Javascript技术,所有其对于url的解析处理,需要动态进行处理。 针对中国石化资金集中管理信息系统应用特点的安全测试设置 针对于中国石化资金集中管理信息系统应用的以上特点,并结合实际使用情况分为三种场景进行测试,测试内容选择了系统的功能1和功能2: 1)使用用户名/密码,但不进行登陆验证:此场景如同一般用户登陆系统, 但不进行登陆验证,即不判断针对特殊应用安全的登陆,是否存在安全问题。 2)使用用户名/密码,进行登陆验证:此场景选择正常用户登陆系统,进行 登陆验证,即判断针对特殊应用安全的登陆,是否存在安全问题。3)基于不同角色登陆处理:结合权限较高的admin用户和权限较低的 cqusr1用户进行登陆,除了常规的安全的检测,特别还要针对跨权限的安全访问进行判断。 通过以上的配置,结合AppScan的登陆设置就可以了。 2.测试结果简析 结合以上的三个场景,针对部分功能进行安全测试后,初步获得以下测试结果。 整体内容分析 3.严重安全问题分析及修改建议 XSS跨站点脚本攻击漏洞 问题概述:黑客可以应用此漏洞,获取最终用户信息,并基于此进行伪装,进行攻击。url: http://:40001/wfProject/jsp/app/sinopec/wf/loan/ http://:40001/wfProject/jsp/app/sinopec/wf/loan/ http://:40001/wfProject/jsp/app/sinopec/wf/tongye/ http://:40001/wfProject/jsp/app/sinopec/wf/tongye/ 测试方式:在参数中增加javascript:alert()处理,可执行url修改方法:修改对于参数的处理,将无效值进行排除。 注入漏洞 问题概述:黑客可以应用此漏洞,获取交易信息。url: http://:40001/wfProject/jsp/app/netbank/common/ 测试方式:在httprequest中填写foobar=foobar之类内容进行攻击修改方法:修改httpparameter处理,将无效内容过滤 JBoss管理控制台打开 问题概述:对于jboss控制台没有进行控制。url: http://:40001/测试方式:直接进行访问即可 修改方法:如果上线,此控制台建议关闭或者设置安全。 跨权限设置访问 问题概述:登陆用户,即可不受权限限制,通过url直接访问用户管理。url: http://:40001/wfProject/jsp/app/acountmanager/ http://:40001/wfProject/jsp/app/acountmanager/ http://:40001/wfProject/jsp/app/acountmanager/ http://:40001/wfProject/jsp/app/acountmanager/ http://:40001/wfProject/jsp/app/netbank/common/http://:40001/wfProject/servlet/dataengine测试方式:采用权限较低用户,可以访问用户管理内容。修改方法:一定要配置用户授权内容。 4.总结 详细内容请详见通过AppScan生成的测试结果,并针对其进行修改。针对此次扫描的情况建议: 1)将应用的授权进行设置,保障不同角色能够针对的不同功能的角色权限。2)防止XSS以及SQL注入攻击,对于httpparameter进行过滤和控制。3)设置登陆处理逻辑,比如对用户登陆账户设置访问三次后冻结/Session 不可重用等登陆处理逻辑。 使用Appscan保障Web应用安全性 编写:梁建增 Appscan简介 IBMRationalAppScanStandardEdition是一种自动化Web应用程序安全性测试引擎,能够连续、自动地审查Web应用程序、测试安全性问题,并生成包含修订建议的行动报告,简化补救过程。 IBMRationalAppScanSt
您可能关注的文档
- 人代会,代表团讨论情况汇报.docx
- 亲子阅读怎样汇报晚会.docx
- 人代会审议情况汇报.docx
- 人口计生扶贫工作汇报.docx
- 人力资源和社会保障局社会诚信体系建设情况汇报.docx
- 人力资源月度汇报.docx
- 人大代表小组活动汇报.docx
- 人员统计汇报表.docx
- 人大,乡镇农民体育健身工程,情况汇报.docx
- 人大党组工作党建汇报.docx
- (商业计划书)大学生创业计划书写作指南.pdf
- 阳和特勤消防站工程方案(柳州市样板).pdf
- 中美利率和汇率动态效应研究:理论与实证——基于拓展的非抛补利率平价模型的研究.pdf
- 融资担保公司内部审计制度(标准模板).pdf
- 建筑安全管理人员考试(三十六)(带答案A3普通页面下载打印就用).doc
- 安全生产法律法规考试(三十六)(带答案A3带密封线普通页面下载打印就用).doc
- 单元整体教学对初中生英语阅读素养的影响研究.docx
- 归脾汤加减治疗老年广泛性焦虑症(心脾两虚证)的临床研究.docx
- 基于碳酸钙-透明质酸的载铂递送系统用于结肠癌免疫治疗的研究.docx
- ZG银行S分行手机银行客户关系管理改进研究.docx
最近下载
- 2024至2030年中国博物馆行业现状调研及未来发展规划分析报告.docx
- 客服基础测试试卷及答案.doc
- 2025年东莞市东华初级中学中考数学押题试卷及答案解析.pdf VIP
- 运筹学学习通超星期末考试答案章节答案2024年.docx VIP
- 汕头市金平区重点达标名校2021-2022学年中考生物适应性模拟试题含解析.doc VIP
- 使用手册puma软件_po2011.pdf VIP
- 2.7 八国联军侵华与《辛丑条约》签订 教学设计 2024-2025学年统编版八年级历史上册.docx VIP
- 2025年党员干部党的理论知识竞赛题库及答案.docx VIP
- 9.3北京市起重机械生产安全事故隐患目录(2021年度).doc VIP
- 《中华人民共和国国防交通法》培训解读课件.pptx VIP
文档评论(0)