02.14.渗透测试服务技术白皮书v2.0.pdfVIP

绿盟科技安全服务技术白皮书

渗透测试服务

■文档编号NSF-2014SI■密级内部使用

■版本编号2.0■日期2014/12/12

©2014绿盟科技

■版权声明

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿

盟科技所有，受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方

式复制或引用本文的任何片断。

■版本变更记录

时间版本说明修改人

2014/01/01V1.0文档创建、丰富内容安全服务部

2014/12/12V2.0丰富内容安全服务部

■适用性声明

本文档是主要介绍北京神州绿盟信息安全股份有限公司（以下简称“绿盟科技”）的渗透测试服务具体内

容和方法，用于客户的相关人员了解绿盟科技的该项服务。

目录

一.概述1

1.1基本概念1

1.2渗透测试与脆弱性评估区别1

1.3渗透测试的必要性1

1.4客户收益2

二.服务的实施标准或原则2

2.1政策文件或标准2

2.2服务原则3

三.绿盟科技渗透测试服务5

3.1服务范围5

3.2服务方式5

3.2.1内部测试和外部测试5

3.2.2黑盒测试和白盒测试6

3.2.3单次服务和年度服务6

3.3服务流程6

3.4服务特点8

3.5服务报告8

3.6服务注意事项8

3.6.1时间的控制9

3.6.2工具使用9

3.6.3技术手段9

3.6.4监控措施9

3.6.5目标对象的选择9

3.6.6操作记录9

3.6.7沟通10

四.渗透测试方法论10

4.1信息收集技术10

4.1.1系统和应用信息收集10

4.1.2站点信息收集10

4.2溢出攻击技术10

4.3口令猜解技术11

4.4WEB漏洞技术11

4.4.1跨站脚本11

4.4.2注入漏洞12

4.4.3参数错误12

4.4.4信息泄露12

4.4.5其他12

-I-

五.相关工具13

5.1信息收集工具13

5.2溢出及口令破解工具13

5.3WEB漏洞挖掘工具13

六.为什么选择绿盟科技14

6.1我们的优势14

6.2绿盟科技简介15

-II-

绿盟科技安全服务技术白皮书

一.