1、天融信技术测试规范_WEB安全渗透测试手册_v0_5.pdfVIP

Web渗透测试标准规范

文件类型标准化文档密级内部受控

编制人赵恒、张希源版本V0.1

审核人日期

北京天融信网络安全技术有限公司

2021年1月22日

Web渗透测试标准规范

一、Web渗透测试规范

Web渗透测试分为自动化扫描工具方式、手工结合工具方式。

自动化扫描工具只能检测到部分常见的漏洞（如跨站脚本、SQL注入等），

不是针对用户代码的，也就是说不能理解业务逻辑，无法对这些漏洞做进一步业

务上的判断。往往最严重的安全问题并不是常见的漏洞，而是通过这些漏洞针对

业务逻辑和应用的攻击。

Web目前分为application和Webservice两部分。Application指通常意

义上的Web应用，而Webservice是一种面向服务的架构的技术，通过标准的

Web协议（如HTTP、XML、SOAP、WSDL）提供服务。

1.信息收集类

1.1源码泄露

问题描述

直接在网站的根目录，网盘链接，特定的文件夹中存储网站的源码或者源码

的备份文件。一般是网站管理员对网站的源码进行备份保存，预防突发情况。

危害级别

高危

测试方法

直接目录遍历，进行目录扫描或者去网盘中搜索目标客户的网站。在特定的

端口或者服务器的根路径直接存储网站的备份文件。

相关工具

Web渗透测试标准规范

暂无

修复建议

建议对源码文件进行加密存储，不要把源码文件或者备份文件存放在特定目

录或文件中，存储在特定的内网文件服务器中，需要登录验证才能看见备份文件。

rr

案例

http://xx.xx.xx.xx:1111/%D4%B4%C2%EB%B1%B8%B7%DD.rar

直接在特定端口的根目录下，发现网站的备份源码文件。下载源码可以进行

代码审计，通过白盒发现更多漏洞

1.2高风险端口开放

问题描述

目标主机开放了一些高危端口，例如22,139,3389,6379等。在安全的主机

配置中，除非业务需求且不可替换，否则建议这些端口应对外网关闭，避免不必

要的攻击。

Web渗透测试标准规范

危害级别

中危

测试方法

综合测试

l测试条件

1、已知web服务器域名或者IP地址，假设地址为0

2、测试用机安装了nmap，及环境。

l测试步骤

1、打开命令提示符，切换到nmap路径下

2、运行命令

nmap–n