当前位置:首页 >  站长 >  建站经验 >  正文

如何进行渗透测试 都有哪些服务内容?

 2020-03-07 15:06  来源: A5用户投稿   我来投稿 撤稿纠错

  【推荐】海外独服/站群服务器/高防

渗透测试这些是经常谈到的问题了,我觉得当有了渗透接口测试之后你就会发现渗透测试这一方面也就是:1.基本漏洞测试;2.携带"低调"构思的心血来潮;3.锲而不舍的信念。我们SINE安全在对客户网站,APP进行渗透测试的过程中会发现客户存在的很漏洞,具体渗透测试的过程这里分享一下:

首先要对客户的网站信息内容进行搜集:

熟记做信息内容搜集时必须从客户的渗透测试目的动手,二级域名搜集:必须留意的是不是必须做此流程,假如顾客的目的仅仅做1个平台网站的安全性测试,这样的话做二级域名搜集的价值并不是非常大,假如是规定对某一平台网站开展以某些目的为指引的渗透就必须做二级域名搜集了。二级域名搜集的方式 偏重DNS系统漏洞,md5破解、DNS解析查寻等方法。针对方面的渗透而言根据旁站查寻同样是1种构思。

IP信息内容搜集:C段与B段比较适用于目的过去IDC服务商数据中心或搭建云主机的状况,假如是云环境大家能够特别关注一下下公钥或Token泄漏的状况,我们SINE安全研究文章有许多相关的内容介绍。端口与服务项目信息内容:关键是根据有关软件开展扫描,nmap、masscan。比较敏感文件目录与相对路径:留意取决于平常搜集的词典与软件分辨回到的方法;网站环境与后端开发模块能够依靠许多谷歌插件来分辨,还可以根据扫描器分辨.

cms源码:这一相对比较关键,通常相对比较大的顾客要不是自开发系统软件要不是完善的cms源码系统软件,大家搜集这一信息内容便于大家查寻已经知道系统漏洞进而深化攻击.更多信息:也有也就是账户密码、Token、HK/LK信息内容、过往系统漏洞、过往系统漏洞中的比较敏感信息内容等信息内容,搜集方式关键是各大搜索引擎与三方支付平台(GitHub为关键平台)。在做信息内容搜集相对比较关键的是平常里词典、软件库的搜集,及其多随机应变做信息内容搜集的方法,不必限制自个的构思。

第2步网站漏洞检测

漏洞检测关键取决于刚开始信息内容搜集的结果,通常会有4种结果:可立即运用的,例如比较敏感文件数据信息泄露;可间接性运用,后端开发模块或cms源码版本号处在已经知道系统漏洞的影响区域之内;将来能用,方面信息内容现阶段不可以列出许多作用,可是在后面的渗透全过程时会提供作用,例如某一局域网的账户密码;无用信息。通常漏洞检测也就是常见的网站漏洞,服务器环境漏洞,如sql语句注入、XSS跨站;许多CVE级别漏洞,如:CVE-2018-10372;网站逻辑漏洞,垂直越权漏洞等等,我们SINE安全工程师在平常的渗透当中不断积累经验,漏洞检测的情况下就不容易慌,不会出太多的问题。

第3步后渗透:假如有必须做后渗透的情况下,通常涉及:局域网渗透,管理权限保持,管理权限提高,获得用户hash,电脑浏览器账户密码等。有关这方面小B同样是菜鸡写不出来很有营养价值的文章,同样是正在学习的文章,大家能够多看看网上的资料。

渗透测试工作小结:

不必总直视着一个方面不放,构思必须开启;

并不是每一回都能取得成功取得管理权限或是寻找高危级别的系统漏洞的:给1台只对外开放了80的独立服务器给你入侵,立即攻击就算了!使用APT也能完成呢。首先要对内部员工弄个钓鱼,获得1个局域网管理权限,再横纵中移动,寻找可浏览目的的互联网段,再想法子从里面获得账户.这份渗透测试报告书是甲方考核本次渗透测试实际效果的证明,因此报告书尤为重要。要导出这份好的报告书必须大家保证下列几条:

1.和客户沟通报告书的规定,不一样的顾客针对报告书的具体程度也是不相同的,有一些顾客乃至会提供报告格式只需填写相匹配的信息。网站在上线之前,一定要进行渗透测试服务,对网站代码的漏洞进行检测,避免后期网站业务发展较大,因产生漏洞而导致重大的经济损失,国内做渗透测试的公司也就是SINESAFE,绿盟,鹰盾安全,启明星辰做的比较专业。

2.对系统漏洞了解充分深入细致,必须叙述清晰系统漏洞的简述、系统漏洞的?险、系统漏洞的风险级别(风险级别的计算方法)、系统漏洞的察觉全过程(图文并茂融合的方法是最合适的,与此同时规定大家在做渗透测试时形成较好的全过程日志习惯)、系统漏洞的修补提议(不一样顾客针对系统漏洞的修补规定是不相同的,外部环境系统软件的修补提议也应当是不相同的)。

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关标签
网站渗透测试

相关文章

  • 网站安全评估渗透测试手法分析

    互联网的广泛应用不仅给用户带来了便利,也带来了许多问题。近年来,出现了各种网站攻击方法,也出现了许多相应的网络渗透测试和评估方法。为了提高网站的整体安全性,整合网络渗透测试和评估具有重要的实际应用价值。本文首先研究了渗透测试的主要技术,总结了渗透测试的方法和特点。

  • 网站安全防护渗透测试常见的攻击方法

    国内对渗透测试以及安全评估的研究起步较晚,并且大多集中在在渗透测试技术上的研究,安全评估方面也有部分企业和研宄团体具有系统的评估方式。然而国内对基于渗透测试的自动化集成系统研宄还非常少

  • 网站安全渗透测试报告模板的一些经验总结

    理想情况下,您的渗透测试模板应包括:通常测试的测试列表。有时候客户会问这个,提前做好准备。每种漏洞类型的结果和解决方案(XSS、CSRF、XXE……)报告的基本大纲(主要大纲和页码)我曾经做过一个月的任务,其中渗透测试的实际时间不超过一周。我们被要求写、描述和重写报告五六次。

  • 进行网站渗透测试的新人学习感悟

    无论是读书,还是练习,你都需要总结,读书的总结会帮你提炼出书本上的知识点;练习的总结会帮你在以后的道路上不断的去复习,少走弯路。概括起来最好有两种方法:一是绘制思维导图,思维导图比较适合梳理自己的思路点。

  • 网站做渗透测试服务的准备条件

    对于客户的渗透测试来说,在进行前与用户沟通某些有关事项是非常必要的:首先是渗透测试的目的:用户这次的需求是什么?等待保险、日常安全检查或者其他目的,不同的目的决定了不同的漏洞评估等级,在测试过程中也感受到不同的方法。二是渗透测试总体目标:总体目标通常分为服务器和软件系统,这两个总体目标的渗透方式大致

热门排行

信息推荐