渗透测试的报告.docVIP

. . . .word. 目录 0x1概述 渗透围 渗透测试主要容 0x2 脆弱性分析方法 0x3 渗透测试过程描述 遍历目录测试 弱口令测试 Sql注入测试 网渗透 网嗅探 0x4 分析结果与建议 0x1 概述 某时段接到xx网络公司授权对该公司网络进展模拟黑客攻击渗透,在xx年xx月xx日-xx年xx月xx日.对xx网络公司的外网效劳器和网集群精心全面脆弱性黑盒测试.完成测试得到此份网络渗透测试报告。 渗透围 此次渗透测试主要包括对象： 某网络公司外网web效劳器.企业邮局效劳器,核心商业数据效劳器和网办公网络系统。 渗透测试主要容 本次渗透中，主要对某网络公司web效劳器,效劳器进展遍历目录,用户弱口令猜解，sql注入漏洞，数据库挖掘，网嗅探,以及域效劳器平安等几个方面进展渗透测试。 0x2 脆弱性分析方法 按照国家工信部is900标准,采用行业认可的测试软件和技术人员手工操作模拟渗透。 0x3 渗透测试过程描述 3.1 遍历目录测试 使用载入国外3万多目录字典的scan对web和效劳器进展目录探测。得到探测结果。主站不存在遍历目录和敏感目录的情况。但是同效劳器站点存在edit编辑器路径。该编辑器版本过低。存在严重漏洞。如图 3.2 用户口令猜解 Nmap收集到外网效劳器ftp.使用默认的账号无法连接,于是对web和能登陆的界面进展弱口令测试,具体如以下图 3.3 sql注入测试 通过手工配合工具检测sql注入得到反响结果如以下图 根据漏洞类别进展统计，如下所示: 漏洞类别 高 中 低 风险值 构造分析 － － － 3 目录遍历探测 － － － 4 隐藏文件探测 － － － 3 CGI漏洞扫描 － － － 0 用户和密码猜解 － － － 10 跨站脚本分析 － － － 0 SQL注射漏洞挖掘〔含数据库挖掘分析〕 － － － 10 风险总值 30 3.4 网渗透 当通过外围平安一些列检测。通过弱口令和注入2中方式进入管理后台。抓包上传webshell得到后门开场提升权限。当发现web效劳器处于网。也正好是在公司部。 于是收集了域的信息。想从web入手抓取域管理Hash破解，无果。所以只能寻找网其他域管理密码。外通过ipc漏洞控制了2个机器。获取到域管hash。用metasploit smb溢出也得到网机器权限同样也获得域管理hash。用域管理hash登陆域效劳器。网的权限全部到手。 3.5 网嗅探 当得到网权限其实就可以得到许多信息。但是主要是针对商业数据的原那么。就还需要对网数据传输进展一个平安检测。于是在网某机器上安装cain进展嗅探得到一局部电子容信息和一些网络账号.具体看以下图 0x4 分析结果与建议 通过本次渗透测试可以看出.xx网络公司网络的平安防护结果不是很理想，在防注入和网权限中存在多处漏洞或者权限策略做的不够得当。本次渗透的突破口主要是分为网和外网，外网设备存在多处注入和弱口令破解。还有一方面原因是使用第三方editweb编辑器 产生破解账号的风险。网由于arp防火墙和域管得策略做的不是很严密。导致网沦陷。 因此。对本次渗透得出的结论 Xx网络公司的网络〞十分危险〞 TOC \o 1-3 \h \z \u 第一章 五金行业概述 2 1 五金行业简介 2 2 五金行业特性 2 3 五金行业典型组织架构 4 第二章 五金行业现状和问题分析 7 五金行业存在的管理特点 7 五金行业管理重点与常见的困扰、 8 第三章 高格ANYV五金行业解决方案 13 1 总体目标 13 2 应用策略 13 2.1 指导思想 13 2.2 应用要求 13 2.3 实施方法论 13 3 方案特色 14 4 总体架构 15 4.1 技术架构 15 4.2 业务架构 16 5 工程技术根底数据管理 17 5.1 关键需求分析 18 5.2 关键需求方案 19 5.3 业务流程 20 5.4 关键业务控制 25 5.5 关键信息处理 25 5.6 应用效益 27 6 销售订单管理 27 6.1 关键需求分析 27 6.2 业务流程 28 6.3 关键业务控制 30 6.4 关键信息处理 37 7 出口管理 38 7.