安全渗透测试白皮书

《安全渗透测试白皮书》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、安全渗透测试技术白皮书 2008年　8　月　17　日第29页共29页目录第1章渗透测试服务概述41.1渗透测试概述41.2渗透测试能为客户带来的收益42.渗透测试涉及的技术52.1.预攻击阶段52.2.攻击阶段62.3.后攻击阶段82.4.其它手法93.操作中的注意事项113.1.测试前提供给Pen-Tester的资料113.1.1.黑箱测试113.1.2.白盒测试113.1.3.隐秘测试113.2.攻击路径113.2.1.内网测试113.2.2.外网测试123.2.3.不同网段/Vlan之间的渗透123.3.实施流程133.3.1.实施方案制定、客户书面同意133

2、.3.2.信息收集分析133.3.3.内部计划制定、二次确认133.3.4.取得权限、提升权限143.3.5.生成报告143.4.风险规避措施143.4.1.渗透测试时间与策略143.4.2.系统备份和恢复153.4.3.工程中合理沟通的保证153.4.4.系统监测153.5.其它164.实战演练及报表输出174.1.实践操作过程17第29页共29页4.1.1.预攻击阶段的发现174.1.2.攻击阶段的操作174.1.3.后攻击阶段可能造成的影响255.附录：26第29页共29页第1章渗透测试服务概述1.1渗透测试概述渗透测试（PenetrationTest）是指安

3、全工程师尽可能完整地模拟黑客使用的漏洞发现技术和攻击手段，对目标网络/系统/主机/应用的安全性作深入的探测，发现系统最脆弱的环节的过程。渗透测试能够直观的让管理人员知道自己网络所面临的问题。渗透测试是一种专业的安全服务，类似于军队里的“实战演习”或者“沙盘推演”的概念，通过实战和推演，让用户清晰了解目前网络的脆弱性、可能造成的影响，以便采取必要的防范措施。1.2渗透测试能为客户带来的收益从渗透测试中，客户能够得到的收益至少有：1)协助用户发现组织中的安全最短板，协助企业有效的了解目前降低风险的初始任务；2)一份文档齐全有效的渗透测试报告有助于组织IT管理者以案例说明

4、目前安全现状，从而增强信息安全的认知程度，甚至提高组织在安全方面的预算；3)信息安全是一个整体工程，渗透测试有助于组织中的所有成员意识到自己的岗位同样可能提高或降低风险，有助于内部安全的提升；当然，渗透测试并不能保证发现目标网络中的“所有”弱点，因此我们不宜片面强调它的重要性。但是，目前国内的现状是：1)大多数企业没有意识到渗透测试的作用;2)仅有少数信息安全企业有能力完成出色的渗透测试服务。因此，渗透测试甚至一度沦为客户检验安全公司技术能力的一个标尺。第29页共29页第1章渗透测试涉及的技术长期以来，渗透测试被人们披上一层神秘的面纱，究其原因，主要还是从事渗透测试

5、的操作者们不仅能够熟练地使用各种工具，往往还能够独出机杼地从不同角度，运用一些“说破不值半文钱”的方法突破网络系统的防御获取权限。当然，就象福尔摩斯的推理一般，这些看似“不可完成的任务”，实际上可以通过缜密的技巧训练加上善用逆向思维、发散思维来达成。下面我们简单介绍在渗透测试的各个阶段（与骇客攻击的阶段相似）可能会用到的一些工具，运用之妙，存乎一心，思路方面的突破在这篇短文中无法尽述，只能由读者自行学习了。1.1预攻击阶段基本网络信息获取ping目标网络得到IP地址和ttl等信息tcptraceroute和traceroute的结果whois结果netcraft获取

6、目标可能存在的域名、Web及服务器信息curl获取目标web基本信息nmap对网站进行端口扫描并判断操作系统类型第29页共29页google、baidu等搜索引擎获取目标信息采用FWtester、hping3等工具进行防火墙规则探测常规漏洞扫描和采用商用软件进行检测结合使用测评工具与Nessus等商用或免费的扫描工具进行漏洞扫描采用SolarWind对网络设备等进行发现采用nikto、webinspect等软件对web常见漏洞进行扫描采用如AppDetectiv之类的商用软件对数据库进行扫描分析……对Web和数据库应用进行分析采用WebProxy、SPIKEProx

7、y、webscarab、ParosProxy、Absinthe等工具进行分析用Ethereal抓包协助分析用webscan、fuzzer进行SQL注入和XSS漏洞初步分析手工检测SQL注入和XSS漏洞采用类似OScanner的工具对数据库进行分析……应用分析的注意事项检查应用系统架构、防止用户绕过系统直接修改数据库检查身份认证模块，防止非法用户绕过身份认证检查数据库接口模块，防止用户获取系统权限检查文件接口模块，防止用户获取系统文件检查其他安全威胁其中每个环节都还有详细的checklist，读者可以自行补充。1.1攻击阶段基于通用设备、数据库、操作系统和应用的攻