开发者社区> 网站安全> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

网站漏洞渗透检测过程与修复方案

简介:
+关注继续查看

什么是网站渗透测试? 该如何做网站安全检测

网站的渗透测试简单来 说就是模拟攻击者的手法以及攻击手段去测试网站的漏洞,对网站进行渗透攻击测试,对网站的代码漏洞进行挖掘,上传脚本文件获取网站的控 制权,并对测试出来的漏洞以及整体的网站检测出具详细的渗透测试安全报告。

7a8912793bfd4d729f3cdf30d7d1f5d5.jpeg

渗透测试的流程一般都是要对网站的域 名以及其他相关信息,包括服务器系统,服务器IP,网站使用的主流CMS系统进行手动的获取与安全分析,来发现网站的漏洞以及 服务器的漏洞,包括有些服务器的安全配置有问题,或者是服务器安装的软件存在漏洞,网站代 码存在的漏洞,像SQL注入漏洞,以及XSS跨站攻击漏洞,远程代码执行漏洞,csrf欺骗攻击漏 洞,而这个渗透测试的流程都要站到一个攻击者的角度去进行安全测试,一般都会大量的安全测 试漏洞,主动进行入侵攻击,在整个网站渗透测试中发现的网站安全问题,给网站后期发展带来 的影响进行安全评估并提供相应的网站安全解决方案,形成一个详细,具体的安全方案给客户, 并帮助客户网站进行漏洞修复,网站安全加固,防止被恶意攻击。

网站渗透测试的种类又分2大类,一种 是白盒测试,一种是黑盒测试,我们来详细的剖析一下,网站的黑盒测试就是网站渗透技术人员并未获取任何网站的管理账号密码 ,没有任何的网站相关机密信息,手里只知道网站的地址,模拟真实的攻击者对网站进行全面的 渗透测试,采用国内常用的渗透测试工具以及渗透测试技术对网站进行攻击入侵,来找到网站的 漏洞并对找到的漏洞进行安全风险评估以及会造成的安全损失有多少,形成一个整体的安全评估 报告。黑盒测试比较耗时耗力,有的甚至需要半个月一个月的进行渗透测试才能完全的找到漏洞 ,对渗透测试的技术要求也较高,国内渗透测试的工程师工资普遍可以达到1W以上。

f3bcabb8837d41a5a98b6073a884ba9d.jpeg

那么什么是白盒测试?

网站的白盒测试最简单的来讲就是已经 获取到了网站的相关信息,包括网站的后台管理员账号密码,网站的源代码获取,网站的服务器系统权限,FTP账号密码都已获知 ,在这个前提下对网站进行渗透测试,这样可以全面的对网站漏洞进行检测与测试,比黑盒测试 找到的漏洞会更多,因为熟知了代码是如何写的,就会找到更多漏洞,白盒测试时间较短,渗透 测试结果较好,也可以精准的对网站漏洞进行修复,并提供安全报告以及网站安全防护方案。

网站渗透测试的方法与过程

f411afdc4b58414aacf0a7eef7ba25cb.jpeg

首先跟客户沟通确认渗透测试的服务内 容,整个网站渗透的内容,详细的写到服务合同中去,对有些网站渗透测试的条件进行补充,付款方式,以及渗透测试报告的要求 ,都要进行前期的沟通确定。然后接下来就是付款开 工,对要进行渗透测试的网站进行信息收集,收集网站的域名是在哪里买的,域名的whios的信 息,注册账号信息,以及网站使用的系统是开源的CMS,还是自己单独开发,像 dedecms,thinkphp,ecshop,discuz都是开源的系统,再收集网站使用的IP,是否存在同一IP下多个网站使用,网 站公开的信息收集,网站管理员的对外联系方式,网站的反馈功能,会员注册功能,上传功能的 地址收集。服务器开放的端口,以及服务器的系统windows还是linux系统,使用的PHP版本, 网站环境是IIS,还是nginx,apache等版本的收集。

然后对收集来的信息进行总结,并建立 一个渗透测试流程图,分配给渗透测试任务给不同的技术人员,从多个方面去负责渗透,每一个技术负责一个点,进行深度挖掘漏 洞,并测试安全问题。

在确定网站漏洞后,再进行详细的归总 ,看是否能拿下网站的管理权限,是否可以上传脚本木马进行控制网站,以及能否渗透拿到服务器的管理权限。制定详细的渗透 测试计划来达到攻击的目的。

对漏洞进行代码分析,包括检测出来的 漏洞是在哪里,通过这个漏洞可以获取那些机密信息,对于代码的逻辑漏洞也进行分析和详细的测试。接下来就是进行渗透攻击 ,对网站进行实战的攻击测试,通过利用工具来入侵网站,整个网站渗透测试过程总结到一个 安全报告,对于渗透测试出来的漏洞进行详细的记录,是什么代码导致什么的漏洞,以及修复 建议都要写到报告当中。以上就是网站渗透测试的过程跟服务的 内容,如果您的网站需要做渗透测试服务,可以联系专业的网站安全公司,国内像SINE安全,绿盟,启明星辰都是比较有名的安全 公司。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
网站漏洞渗透检测过程与修复方案
网站的渗透测试简单来 说就是模拟攻击者的手法以及攻击手段去测试网站的漏洞,对网站进行渗透攻击测试,对网站的代码漏洞进行挖掘,上传脚本文件获取网站的控 制权,并对测试出来的漏洞以及整体的网站检测出具详细的渗透测试安全报告。
0 0
网站安全之逻辑漏洞检测 修复方案
网站安全是整个网站运营中最重要的一部分,网站没有了安全,那用户的隐私如何保障,在网站中进行的任何交易,支付,用户的注册信息都就没有了安全保障,所以网站安全做好了,才能更好的去运营一个网站,我们SINE安全在对客户进行网站安全部署与检测的同时,发现网站的业务逻辑漏洞很多,尤其暴利破解漏洞。
0 0
高危预警|RDP漏洞或引发大规模蠕虫爆发,用户可用阿里云免费检测服务自检,建议尽快修复
阿里云安全中心免费提供服务器漏洞检测,支持Windows和Linux漏洞检测,支持云上主机和线下机房服务器的安全检测,助力企业做好安全预防。
5075 0
分析网站漏洞检测对于区块链的安全分析
目前区块链市场越做越大,很多服务都在使用区块链技术,跟上区块链的大潮,在高速发展的同时,区块链的安全问题也日益严重,2018年上半年ATN区块链平台被爆出高危的区块链漏洞,我们来看下这个ATN到底是如何产生漏洞,分析及如何修复漏洞的。
956 0
网站漏洞修复整体网站安全检测方案
在很多网站系统构建的一开始,最注重的就是网站程序代码的安全,我们SINE安全对甲方网站公司部署过很多的网站安全系统,之前有一些网站设计公司对于每个项目都会由专人去负责开发与设计,并与甲方网站公司进行沟通,每个技术的开发水平都不一样,有些网站技术有着十几年的开发经验,有的技术可能只有三四年的开发经验,所以开发出来的网站也都会有网站漏洞,比如:SQL注入漏洞,XSS跨站漏洞,远程命令执行漏洞,CSRF劫持漏洞,远程包含文件漏洞。
1238 0
技术分析 | Struts2 S2-048漏洞:跟踪攻击趋势,成功检测防御
7月7日,Apache Struts官方发布了漏洞编号为:S2-048的高危漏洞公告。 阿里云安全团队2小时内发布官方安全建议,跟踪S2-048的全球攻击趋势,并对不同漏洞版本进行了对比分析。 目前,阿里云云盾态势感知已支持检测,WAF默认支持防御。
2651 0
+关注
网站安全
Sinesafe专注于网站安全,服务器安全,解决各类网络安全问题,对代码审计以及漏洞修补安全加固有专业的十年实战经验.官方站点www.sinesafe.com
文章
问答
文章排行榜
最热
最新
相关电子书
更多
如何产生威胁情报-高级恶意攻击案例分析
立即下载
代码未写,漏洞已出——谈谈设计不当导致的安全问题
立即下载
阿里巴巴代码缺陷检测探索与实践
立即下载