网站渗透测试服务项目内容详情

简介: 小小白承包了一块20亩的土地,依山傍水,风水不错。听朋友说去年玉米大卖,他也想尝尝甜头,也就种上了玉米。看着玉米茁壮成长,别提小小白心里多开心,心里盘算着玉米大买后,吃香喝辣的富贵生活。好景不长,小小白这几天发现玉米长得慢了,还出现了黄叶,黄页面积还有扩大的趋势。

小小白承包了一块20亩的土地,依山傍水,风水不错。听朋友说去年玉米大卖,他也想尝尝甜头,也就种上了玉米。

看着玉米茁壮成长,别提小小白心里多开心,心里盘算着玉米大买后,吃香喝辣的富贵生活。

好景不长,小小白这几天发现玉米长得慢了,还出现了黄叶,黄页面积还有扩大的趋势。着急的小小白找到大队的农业专家老周周,老周周说:“有病得治,玉米在生长期有着不同的阶段,不同阶段得有不同的护理措施,除了日常的除草、施肥,还得请专业的服务团队,定期给庄稼体检体检啊,发现问题,才能更好的解决问题,我知道城里有一家专门做这个业务的公司,用了都说好”,说完递给小小白一张名片。

小小白拨通了名片上的电话,接听电话的是这个Sinesafe公司安全服务团队的高级咨询师陈老师,一听小小白介绍种植的过程和出现的问题,就知道小小白是刚入门不久的小白,就开始给小小白耐心的讲解庄稼体检(网站渗透测试)的标准、基础知识。

渗透测试是一种通过模拟攻击者的攻击技术、方法,绕过系统安全措施,最终取得系统控制权的安全测试方式。

刚入安全门不久的小白同学,如果能在开始就养成规范的操作习惯,后续提升安全修为是百利而无一害的。

近些年,安全圈内的“牛”氏一族,结合多年丰富的牛逼经验,重新定义了渗透测试过程,即“渗透测试执行标准(PTES:Penetration Testing ExcutionStandard)”。

u_718732163_1296718152_fm_26_gp_0

Sinesafe把渗透测试过程划分成7个阶段:

1、 前期交互阶段;

2、 情报收集阶段;

3、 威胁建模阶段;

4、 漏洞分析阶段;

5、 渗透攻击阶段;

6、 后渗透攻击阶段;

7、 报告阶段。

小小白听得津津有味,还在笔记本上做着笔记。

每个阶段,有着明确的目标。

1、前期交互阶段。正式入场测试之前,我们甲方(小小白这样的客户)给乙方(“渗透测试”服务团队)签订服务合同,明确测试范围和目标,并由甲方给出书面的授权文件(没有正式授权书的测试,都是违法的哦),双方各执一份。

【Key Words】服务合同、测试范围、测试目标、书面授权书

2、情报收集阶段。采用各种可能的方法,搜集与将要攻击的目标相关信息。搜集信息的方法主要分为外围收集和试探收集。外围信息收集方式包括社交媒体网络、搜索引擎技术等;试探性收集包括端口扫描、漏洞扫描等。

【Key Words】帐号、口令、IP、端口、漏洞、资产版本信息

3、威胁建模阶段。收集充分的情报之后,渗透团队聚在一起,针对收集到的信息,头脑风暴威胁建模和攻击规划,确定出最可行的攻击通道。

【Key Words】攻击规划、头脑风暴、开脑洞、战略规划

4、漏洞分析阶段。我们的目标是:“找到蛀牙”。漏洞分析是在战略确定后,从战术面确定如何取得目标系统的访问控制权。找出具体可利用漏洞,搜索或自行编写渗透代码,找出可以实施的渗透攻击点,搭建模拟环境加以验证。

【Key Words】漏洞分析、渗透攻击代码(POC)

5、渗透攻击阶段。将前面阶段确定攻击方式、方法,真正的应用在目标系统上,实施渗透测试,获取控制权限。渗透测试过程中,可能会触发目系统的防护措施,前期应有对应的逃逸机制,避免目标组织安全响应人员的警觉。

【Key Words】渗透测试、访问控制权限、绕过权限

6、后渗透攻击阶段。拿到客户一些系统的管理权限后,由此为“跳板”,实现内网“漫游”。在这个过程中,有经验的大牛,能在信息有限的情况下,识别出关键信息基础设施,找到客户组织最有价值的信息和资产,并展示出对重要业务影响的攻击路径。

【Key Words】后渗透、关键信息基础设施、内网渗透

7、报告阶段。整理并输出“体检报告”,主要包括关键情报信息、漏洞、攻击过程,以及造成业务影响后果的攻击途径,并梳理出防御体系中薄弱环节、短板,给出整改建议。

【Key Words】报告、脆弱点、威胁、风险

渗透测试相关术语

1.1 一些前置知识(包含但不限于) 脚本(asp、php、jsp) html(css、js、html) HTTP协议 CMS(B/S)

1.2 肉鸡 被黑客入侵并被长期驻扎的计算机或服务器。可以随意控制,可以是任意系统的设备,对象可以是企业,个人,政府等等所有单位。

1.3 抓鸡 利用使用量大的程序的漏洞,使用自动化方式获取肉鸡的行为。

1.4 Webshell 通过Web入侵的一种脚本工具,可以据此对网站服务进行一定程度的控制。

1.5 漏洞 硬件、软件、协议等等的可利用安全缺陷,可能被攻击者利用,对数据进行篡改,控制等。

1.6 木马 通过向服务端提交一句简短的代码,配合本地客户端实现webshell功能的木马。 <%eval request("pass")%> <%execute(request("pass"))%> request("pass")接收客户端提交的数据,pass为执行命令的参数值。 eval/execute 函数执行客户端命令的内容

1.7 提权 操作系统低权限的账户将自己提升为管理员权限使用的方法。

1.8 后门 黑客为了对主机进行长期的控制,在机器上种植的一段程序或留下的一个"入口"。

1.9 跳板 使用肉鸡IP来实施攻击其他目标,以便更好的隐藏自己的身份信息。

1.10 旁站入侵 即同服务器下的网站入侵,入侵之后可以通过提权跨目录等手段拿到目标网站的权限。常见的旁站查询工具有:WebRobot、御剑、明小子和web在线查询等

1.11 C段入侵 即同C段下服务器入侵。如目标ip为192.168.180.253 入侵192.168.180.*的任意一台机器,然后利用一些黑客工具嗅探获取在网络上传输的各种信息。常用的工具有:在windows下有Cain,在UNIX环境下有Sniffit, Snoop, Tcpdump, Dsniff 等。

1.12 黑盒测试 在未授权的情况下,模拟黑客的攻击方法和思维方式,来评估计算机网络系统可能存在的安全风险。 黑盒测试不同于黑客入侵,并不等于黑站。黑盒测试考验的是综合的能力(OS、Datebase、、code、思路、社工)。思路与经验积累往往决定成败。

1.13 白盒测试 相对黑盒测试,白盒测试基本是从内部发起。白盒测试与黑盒测试恰恰相反,测试者可以通过正常渠道向被测单位取得各种资料,包括网络拓扑、员工资料甚至网站或其它程序的代码片断,也能够与单位的其它员工(销售、程序员、管理者……)进行面对面的沟通。

1.14 黑白盒的另一种说法 知道源代码和不知道源代码的渗透测试。这时,黑盒测试还是传统的渗透测试,而白盒测试就偏向于代码审计。

1.15 APT攻击 Advanced Persistent Threat,高级可持续性攻击,是指组织(特别是政府)或者小团体利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。 1.极强的隐蔽性 2.潜伏期长,持续性强 3.目标性强

小小白听完安老师介绍后,发现自己缺少的是系统化的种植知识、风险控制意识,决定第二天就去城里找Sinesafe陈老师,谈谈服务细节,尽快把团队请过来给庄稼把脉治病,减少不必要的损失。

相关文章
|
18天前
|
测试技术
自动化测试项目学习笔记(五):Pytest结合allure生成测试报告以及重构项目
本文介绍了如何使用Pytest和Allure生成自动化测试报告。通过安装allure-pytest和配置环境,可以生成包含用例描述、步骤、等级等详细信息的美观报告。文章还提供了代码示例和运行指南,以及重构项目时的注意事项。
80 1
自动化测试项目学习笔记(五):Pytest结合allure生成测试报告以及重构项目
|
18天前
|
测试技术 Python
自动化测试项目学习笔记(四):Pytest介绍和使用
本文是关于自动化测试框架Pytest的介绍和使用。Pytest是一个功能丰富的Python测试工具,支持参数化、多种测试类型,并拥有众多第三方插件。文章讲解了Pytest的编写规则、命令行参数、执行测试、参数化处理以及如何使用fixture实现测试用例间的调用。此外,还提供了pytest.ini配置文件示例。
17 2
|
18天前
|
测试技术 Python
自动化测试项目学习笔记(二):学习各种setup、tearDown、断言方法
本文主要介绍了自动化测试中setup、teardown、断言方法的使用,以及unittest框架中setUp、tearDown、setUpClass和tearDownClass的区别和应用。
40 0
自动化测试项目学习笔记(二):学习各种setup、tearDown、断言方法
|
24天前
|
人工智能 自动驾驶 机器人
【通义】AI视界|苹果自动驾驶汽车项目画上句号:加州测试许可被取消
本文精选了24小时内的重要科技新闻,包括Waymo前CEO批评马斯克对自动驾驶的态度、AMD发布新款AI芯片但股价波动、苹果造车项目终止、Familia.AI推出家庭应用以及AI逆向绘画技术的进展。更多内容请访问通义官网体验。
|
27天前
|
前端开发 JavaScript 应用服务中间件
linux安装nginx和前端部署vue项目(实际测试react项目也可以)
本文是一篇详细的教程,介绍了如何在Linux系统上安装和配置nginx,以及如何将打包好的前端项目(如Vue或React)上传和部署到服务器上,包括了常见的错误处理方法。
71 0
linux安装nginx和前端部署vue项目(实际测试react项目也可以)
|
1月前
|
Java Maven
Maven 项目测试
接下来我们要学习如何构建和测试这个项目。
40 5
|
1月前
|
JavaScript
vue尚品汇商城项目-day07【55.编码测试与打包发布项目】
vue尚品汇商城项目-day07【55.编码测试与打包发布项目】
27 3
|
18天前
|
监控 Java Maven
springboot学习二:springboot 初创建 web 项目、修改banner、热部署插件、切换运行环境、springboot参数配置,打包项目并测试成功
这篇文章介绍了如何快速创建Spring Boot项目,包括项目的初始化、结构、打包部署、修改启动Banner、热部署、环境切换和参数配置等基础操作。
74 0
ACE
|
2月前
|
SQL 分布式计算 数据处理
如何创建2024云栖Openlake测试项目和配置环境
2024年云栖大会,MaxCompute 多项重磅产品新功能邀测发布,新特性包括 支持OpenLake的湖仓一体2.0、Object Table支持SQL或MaxFrame处理非结构化数据、Delta Table增量表格式、基于增量物化视图的增量计算、MCQA2.0 SQL引擎查询加速等。其相关特性将在中国区 公共云 北京、上海、杭州、深圳Region 上线开放试用。本文以最佳实践的方式,帮助您创建MaxCompute和周边产品 在Openlake解决方案demo中需要准备的实例、项目和开发环境,并完成配置。欢迎您玩转云栖邀测demo,体验新功能。
ACE
441 7
|
27天前
|
JavaScript 前端开发 API
vue尚品汇商城项目-day02【9.Home组件拆分+10.postman测试接口】
vue尚品汇商城项目-day02【9.Home组件拆分+10.postman测试接口】
35 0