信息系统渗透测试方案.docxVIP

案例：某研究设计院信息系统总体设计方案 案例：某研究设计院信息系统总体设计方案 页脚内容 页脚内容 广东省 XXXX 厅重要信息系统 渗透测试方案 目 录 概述 0 渗透测试概述 0 为客户带来的收益 0 涉及的技术 0 预攻击阶段 1 攻击阶段 2 后攻击阶段 3 其它手法 3 操作中的注意事项 4 测试前提供给渗透测试者的资料 4 黑箱测试 4 白盒测试 4 隐秘测试 4 攻击路径 4 内网测试 5 外网测试 5 不同网段/vlan 之间的渗透 5 实施流程 6 渗透测试流程 6 实施方案制定、客户书面同意 6 信息收集分析 7 内部计划制定、二次确认 7 取得权限、提升权限 7 生成报告 7 风险规避措施 8 渗透测试时间与策略 8 系统备份和恢复 8 工程中合理沟通的保证 9 系统监测 9 3.5. 其它 10 渗透测试实施及报表输出 10 实际操作过程 10 预攻击阶段的发现 10 攻击阶段的操作 11 后攻击阶段可能造成的影响 12 渗透测试报告 13 结束语 13 概述 渗透测试概述 渗透测试（Penetration Test）是指安全工程师尽可能完整摸拟黑客使用的漏洞发现技术 和攻击手段，对目标网络/系统/主机/应用的安全性做深入的探测，发现系统最脆弱的环节的过程，渗透测试能够直观的让管理人员知道自己网络面临的问题。 渗透测试是一种专业的安全服务，类似于军队里的“实战演习”或者“沙盘推演”，通 过实战和推演，让用户清晰了解目前网络的脆弱性、可能造成的影响，以便采取必要的防范措施。 为客户带来的收益 从渗透测试中，客户能够得到的收益至少有： 协助用户发现组织中的安全最短板，协助企业有效的了解目前降低风险的初始任务； 一份文档齐全有效的渗透测试报告有助于组织 IT 管理者以案例说明目前安全现 状，从而增强信息安全认知程度，甚至提高组织在安全方面的预算； 信息安全是一个整体工程，渗透测试有助于组织中的所有成员意识到自己岗位同样可能提高或降低风险，有助于内部安全的提升； 当然，渗透测试并不能保证发现目标网络中所有的弱点，因此我们不宜片面强调它的 重要性。 涉及的技术 我们简单介绍渗透测试的各个阶段可能会用到的一些工具。 案例：某研究设计院信息系统总体设计方案 案例：某研究设计院信息系统总体设计方案 页脚内容 页脚内容 预攻击 攻击 后攻击 预攻击 攻击 后攻击 目的： 目的： 目的： 收集信息进行进 一 时行攻击 获得系统 消除痕迹，长期维持一 步攻击决策 的一定权限 定的权限 内容： 内容： 内容： 获得域名及 IP 分布获得拓扑及 OS 等 获得远程权限进入远程系统 删除日志 修补明显的漏洞 预攻击阶段 基本网络信息获取 Ping 目标网络得到 IP 地址和 ttl 等信息Tcptraceroute 等 traceroute 的结果Whois 结果 Netcraft 获取目标可能存在的域名、web 及服务器信息 Curl 获得目标 web 基本信息 Nmap 对网站进行端口扫描并判断操作系统类型Google、yahoo、baidu 等搜索引擎获取目标信息采用 FWtester、hping3 等工具进行防火墙规则探测 …… 常规漏洞扫描和采用商用软件进行检测 结合使用 xscan 与 Nessu 等商用或免费扫描工个进行漏洞扫描 采用 Solarwind 对网络设备等进行发现 采用 nikto、webinspect 等软件对 web 常见漏洞进行扫描 采用如 AppDetective 之类的商用软件对数据库进行扫描分析 …… 对 Web 和数据库应用进行分析 采用 Webproxy、SPIKEProxy、webscarab、ParosProxy、Absinthe 等工具进行分析 用 Ehtereal 进行抓包协助分析 用 webscan、fuzzer 进行 SQL 注入和 XSS 漏洞初步分析手工检测 SQL 注入和 XSS 漏洞 采用类似 OScanner 工具对数据库进行分析 …… 对应用分析的注意事项 检查应用系统架构、防止用户绕过系统直接修改数据库检查身份认证模块，防止非法用户绕过身份验证 检查数据库接口模块，防止用户获取系统权限检查其他安全威胁 …… 攻击阶段 基于通用设备、数据库、操作系统和应用的攻击 可以采用各种公开及私有的缓冲区溢出程序代码， 基于应用的攻击 基于 Web、数据库或特定的 B/S 或 C/S 结构的网络应用程序存在的弱点进行攻击，常见的如 SQL 注入攻击、跨站脚本攻击等。 口令猜解技术 口令是信息安全里永恒的主题，通过弱口令获取权限者不在少数。进行