Web风险评估报告.docVIP

网站风险评估报告 ——《信息安全工程》报告 课程名称 信息安全工程 班 级 专 业 信息安全 任课教师 学 号 姓 名 目录 封 面 1 目 录 2 一 、 评 估 准 备 3 1 、 安 全 评 估 准 备 3 2 、 安 全 评 估 范 围 3 3 、 安 全 评 估 团 队 3 4 、 安 全 评 估 计 划 3 二 、 风 险 因 素 评 估 3 1．威胁分析 3 1.1 威 胁 分 析 概 述 3 1.2 威 胁 分 析 来 源 4 1.3 威 胁 种 类 4 2 ． 安 全 评 估 7 2.1 高 危 漏 洞 7 2.2 中 级 漏 洞 7 2.3 低 级 漏 洞 8 三 、 综 述 8 1.1 具有最多安全性问题的文件 9 1.2Web 风 险 分 布 统 计 9 2.Web 风 险 类 别 分 布 3. 10 渗 透 测 试 10 4. 漏 洞 信 息 15 四 、 风 险 评 价 18 五 、 风 险 控 制 建 议 19 附 录 : 2 2 一、评估准备 1、安全评估目标 在项目评估阶段， 为了充分了解 SecurityTweets 这个网站的安全系数， 因此需要对 SecurityTweets 这个网站当前的重点服务器和 web应用程序进行一次抽样扫描和安全弱点分析， 对象为 SecurityTweets 全站，然后根据安全弱点扫描分析报告，作为提高 SecurityTweets 系统整体安全的重要参考依据之一。 2、安全评估范围 本小组将对如下系统进行安全评估： 采用 linux 系统的 web服务器（ IP 地址： ） 采用 nginx 服务器程序的 web站点 采用 MySQL的数据库 3、安全评估团队 成员组成： 组员 姓名 班级 学号 使用工具： 1、 Acunetix Web Vulnerability Scanner 2、 BurpSuite 4、安全评估计划 1、此次针对网站的安全评估分为 2 个步骤进行。 第一步利用现有的优秀安全评估软件来模拟攻击行 为进行自动的探测安全隐患；第二步根据第一步得出的扫描结果进行分析由小组成员亲自进行手动检 测，排除误报情况，查找扫描软件无法找到的安全漏洞。 2、第一步我们采用两种不同的渗透测试软件对网站做总体扫描。 采用两种工具是因为这两个工具的 侧重点不同，可以互为补充，使得分析更为精确。然后生成测试报告。 3、根据上一步生成的测试报告，由组员亲自手动验证报告的可信性。 4、根据安全扫描程序和人工分析结果写出这次安全评估的报告书。 二、风险因素评估 威胁分析 1.1. 威胁分析概述 本次威胁分析是对一个德国的 SecurityTweets 网站进行的。威胁分析包括的具体内容有： 威胁主体、 威胁途径、威胁种类。 1.2. 威胁来源 SecurityTweets 网站是基于 Internet 体系结构建立，网络业务系统大都采用 TCP/IP 作为主要的 网络通讯协议，其自身提供了各种各样的接口以供使用和维护，然而，这些接口同样可能向威胁主体提 供了攻击的途径： 来源 环境因素  描述 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、 洪灾、火灾、地震、意外事故等环境危害或自然灾害，以 及软件、硬件、数据、通讯线路等方面的故障 人为因 恶意  不满的或有预谋的内部人员对信息系统进行恶意破坏；采 素 人员  用自主或内外勾结的方式盗窃机密信息或进行篡改，获取 利益 外部人员利用信息系统的脆弱性， 对网络或系统的保密性、完整性和可用性进行破坏，以获取利益或炫耀能力 非 恶 内部人员由于缺乏责任心，或者由于不关心或不专注，或意 人 者没有遵循规章制度和操作流程而导致故障或信息损坏； 员 内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求而导致信息系统故障或被攻击 1.3. 威胁种类： 描述 这个脚本是可能容易受到跨站点脚本（ XSS）攻击。 跨站点脚本（也被称为 XSS）是一种漏洞， 允许攻击者发送恶意代码 （通常在 Javascript 中的形式）给其他用户。因为浏览器无法知道是否该脚本应该是可信与否，它会在用户上下文中，允许攻击者访问被浏览器保留的任何 Cookie 或会话令牌执行脚本。 虽然传统的跨站点脚本漏洞发生在服务器端的代码，文档对象模型的跨站点脚本是一种类型的漏洞会影响脚本代码在客户端的浏览器。 描述 基于堆的缓冲区溢出在 nginx1.3.15 的 SPDY执行 1.4.7 和 1.5.x 版本 1.5.12 之前之前允许远程攻击者通过特制的请求执行任意代码。该问题影响的 ngx_http_spdy_module 模块（默认情况下不编译），并编译 nginx 的 - 与调试配置选项，如果“听”指令的“ SPDY”选项用于在配置