XX项目渗透报告.docVIP

XX项目渗透测试报告 第 PAGE 10 页 共 22 页 XX项目 渗透测试报告 目 录 TOC \o 1-3 \h \z \u 1 系统背景 3 2.1 系统的逻辑架构 3 3 渗透准备 5 4 渗透结论 5 5 安全建议 x x 渗透测试方法 x x.1 目标 x x.2 范围 x x.3 使用工具 x 7 测试过程 x 8 总结 22 8.1 存在隐患 22 8.2 安全建议 22  系统背景 征管系统的逻辑架构 征管系统采用了三层架构，即表示层、应用逻辑层和数据层。 表示层是三层架构中用户访问应用系统的所使用设备的总称，它可以是计算机IE浏览器，也可以是PDA、手机等。表示层的主要功能是发送用户的请求信息给后端的应用逻辑层，并接收应用逻辑层返回的数据，最终展现在客户端设备的界面上。征管系统的表示层是软件开发商采用了.Net Framework 构建的智能客户端（smart client）。智能客户端整合了IE浏览器和Windows控件。由于表示层还是采用浏览器技术，表示层与应用逻辑层的连接协议是HTTP。负载均衡主要是在多台WEB服务器间进行客户端请求的分配调整，充分利用服务器资源，提高响应速度。目前采用了一台F5的负载均衡器实现。 应用逻辑层负责处理用户认证和相关业务逻辑的实现，是征管系统的控制层。它利用组件的形式提供用户权限控制，事务处理服务、安全控制服务、数据库访问服务等，同时征管系统的业务逻辑处理组件也在这一层部署。 数据层是支撑逻辑事务层的底层结构，为应用逻辑层提供数据库数据存取的服务。在数据层中保存了征管系统的所有数据。 渗透准备 渗透时间2011年X月X日，9:00 ~ 13:40。 采用的方法： 1 基本网络信息获取 2 ping 目标网络得到 IP 地址和 ttl 等信息 3 tcptraceroute 和 traceroute 的结果 4 whois 结果 5 用X-SCAN，Nessus工具 对网站进行端口扫描并判断操作系统类型 x google、yahoo、baidu 等搜索引擎获取目标信息 7 FWtester、hping3 等工具进行防火墙规则探测 （2） 渗透测试 此阶段主要根据上一阶段所获得的信息对网站及所在网络进行渗透测试，主要包括工具扫描和手工测试，如果顺利的话可以获取相应的权限。 1 常规漏洞扫描和采用商用软件进行检查 2 结合使用极光与 Nessus 等商用或免费的扫描工具进行漏洞扫描 3 采用 SolarWind 对网络设备等进行发现 4 采用 nikto、webinspect 等软件对 web 常见漏洞进行扫描 5 采用如AppDetectiv 之类的商用软件对数据库进行扫描分析 x 对 Web 和数据库应用进行分析 7 采用 WebProxy、SPIKEProxy、webscarab、ParosProxy、Absinthe 等 8 工具进行分析 9 用 Ethereal 抓包协助分析 10 用 webscan、fuzzer 进行 SQL 注入和 XSS 漏洞初步分析 11 手工检测 SQL 注入和 XSS 漏洞 12 采用类似OScanner 的工具对数据库进行分析 13 基于通用设备、数据库、操作系统和应用的攻击 14 采用各种公开及私有的缓冲区溢出程序代码，也采用诸如 MetasploitFramework之类的利用程序集合。 渗透结论 多处OA面板用户密码未修改 通过一般用户登陆面板，知道管理员用户名 通过字典破解成功获取密码 x1.XX.XX.211 存在注射漏洞 安全建议 加强同一网段的主机的安全，禁止不必要的端口访问； 及时更新系统及相关软件补丁； 针对WEB过滤用户提交内容中包含的特殊字符； 将登陆密码设置强度增大 对WEB所有提交类型进行过滤 将敏感目录的名称修改 渗透测试方法 目标 XXOA 范围 x1.xx.xx.211 x1.xx.xx.131 x1.xx.xx.1x9 x1.xx.xx.71 使用工具 手工 测试过程 x1.1x.xx.71 开放端口如下： PORT STATE SERVICE 80/tcp open http 3389/tcp open ms-term-serv 8000/tcp open h