1、天融信技术测试规范_WEB安全渗透测试手册_v0_5.pdfVIP

Web渗透测试标准规范

文件类型标准化文档密级内部受控

编制人赵恒、张希源版本V0.1

审核人日期

北京天融信网络安全技术有限公司

2021年1月22日

-1-

Web渗透测试标准规范

一、Web渗透测试规范

Web渗透测试分为自动化扫描工具方式、手工结合工具方式。

自动化扫描工具只能检测到部分常见的漏洞（如跨站脚本、SQL注入等），

不是针对用户代码的，也就是说不能理解业务逻辑，无法对这些漏洞做进一步业

务上的判断。往往最严重的安全问题并不是常见的漏洞，而是通过这些漏洞针对

业务逻辑和应用的攻击。

Web目前分为application和Webservice两部分。Application指通常意

义上的Web应用，而Webservice是一种面向服务的架构的技术，通过标准的

Web协议（如HTTP、XML、SOAP、WSDL）提供服务。

1.信息收集类

1.1源码泄露

问题描述

直接在网站的根目录，网盘链接，特定的文件夹中存储网站的源码或者源码

的备份文件。一般是网站管理员对网站的源码进行备份保存，预防突发情况。

危害级别

高危

测试方法

直接目录遍历，进行目录扫描或者去网盘中搜索目标客户的网站。在特定的

端口或者服务器的根路径直接存储网站的备份文件。

相关工具

-2-

Web渗透测试标准规范

暂无

修复建议

建议对源码文件进行加密存储，不要把源码文件或者备份文件存放在特定目

录或文件中，存储在特定的内网文件服务器中，需要登录验证才能看见备份文件。

rr

案例

http://xx.xx.xx.xx:1111/%D4%B4%C2%EB%B1%B8%B7%DD.rar

直接在特定端口的根目录下，发现网站的备份源码文件。下载源码可以进行

代码审计，通过白盒发现更多漏洞

1.2高风险端口开放

问题描述

目标主机开放了一些高危端口，例如22,139,3389,6379等。在安全的主机

配置中，除非业务需求且不可替换，否则建议这些端口应对外网关闭，避免不必

要的攻击。

-3-

Web渗透测试标准规范

危害级别

中危