web安全***测试 APP安全***漏洞测试详情

Posted 2020-12-20

web安全***测试 APP安全***漏洞测试详情

分类专栏： 网站***测试 网站安全防护 网站安全漏洞检测 文章标签： app安全***测试 网站***测试安全 网站安全***测试服务 网站安全公司 网站漏洞检测
版权

前言

小小白承包了一块20亩的土地，依山傍水，风水不错。听朋友说去年玉米大卖，他也想尝尝甜头，也就种上了玉米。

看着玉米茁壮成长，别提小小白心里多开心，心里盘算着玉米大买后，吃香喝辣的富贵生活。

好景不长，小小白这几天发现玉米长得慢了，还出现了黄叶，黄页面积还有扩大的趋势。着急的小小白找到大队的农业专家老周周，老周周说：“有病得治，玉米在生长期有着不同的阶段，不同阶段得有不同的护理措施，除了日常的除草、施肥，还得请专业的服务团队，定期给庄稼体检体检啊，发现问题，才能更好的解决问题，我知道城里有一家专门做这个业务的公司，用了都说好”，说完递给小小白一张名片。

小小白拨通了名片上的电话，接听电话的是这个Sinesafe公司安全服务团队的高级咨询师陈老师，一听小小白介绍种植的过程和出现的问题，就知道小小白是刚入门不久的小白，就开始给小小白耐心的讲解庄稼体检（网站***测试）的标准、基础知识。

***测试是一种通过模拟***者的***技术、方法，绕过系统安全措施，最终取得系统控制权的安全测试方式。

刚入安全门不久的小白同学，如果能在开始就养成规范的操作习惯，后续提升安全修为是百利而无一害的。

近些年，安全圈内的“牛”氏一族，结合多年丰富的牛逼经验，重新定义了***测试过程，即“***测试执行标准（PTES：Penetration Testing ExcutionStandard）”。

PTES把***测试过程划分成7个阶段：

1、 前期交互阶段；

2、 情报收集阶段；

3、 威胁建模阶段；

4、 漏洞分析阶段；

5、 ******阶段；

6、 后******阶段；

7、 报告阶段。

小小白听得津津有味，还在笔记本上做着笔记。

每个阶段，有着明确的目标。

1、前期交互阶段。正式入场测试之前，我们甲方（小小白这样的客户）给乙方（“***测试”服务团队）签订服务合同，明确测试范围和目标，并由甲方给出书面的授权文件（没有正式授权书的测试，都是违法的哦），双方各执一份。

【Key Words】服务合同、测试范围、测试目标、书面授权书

2、情报收集阶段。采用各种可能的方法，搜集与将要***的目标相关信息。搜集信息的方法主要分为外围收集和试探收集。外围信息收集方式包括社交媒体网络、搜索引擎技术等；试探性收集包括端口扫描、漏洞扫描等。

【Key Words】帐号、口令、IP、端口、漏洞、资产版本信息

3、威胁建模阶段。收集充分的情报之后，***团队聚在一起，针对收集到的信息，头脑风暴威胁建模和***规划，确定出最可行的***通道。

【Key Words】***规划、头脑风暴、开脑洞、战略规划

4、漏洞分析阶段。我们的目标是：“找到蛀牙”。漏洞分析是在战略确定后，从战术面确定如何取得目标系统的访问控制权。找出具体可利用漏洞，搜索或自行编写***代码，找出可以实施的******点，搭建模拟环境加以验证。

【Key Words】漏洞分析、******代码（POC）

5、******阶段。将前面阶段确定***方式、方法，真正的应用在目标系统上，实施***测试，获取控制权限。***测试过程中，可能会触发目系统的防护措施，前期应有对应的逃逸机制，避免目标组织安全响应人员的警觉。

【Key Words】***测试、访问控制权限、绕过权限

6、后******阶段。拿到客户一些系统的管理权限后，由此为“跳板”，实现内网“漫游”。在这个过程中，有经验的大牛，能在信息有限的情况下，识别出关键信息基础设施，找到客户组织最有价值的信息和资产，并展示出对重要业务影响的***路径。

【Key Words】后***、关键信息基础设施、内网***

7、报告阶段。整理并输出“体检报告”，主要包括关键情报信息、漏洞、***过程，以及造成业务影响后果的***途径，并梳理出防御体系中薄弱环节、短板，给出整改建议。

【Key Words】报告、脆弱点、威胁、风险

***测试相关术语

1.1 一些前置知识（包含但不限于） 脚本（asp、php、jsp） html（css、js、html） HTTP协议 CMS（B/S）

1.2 肉鸡 被******并被长期驻扎的计算机或服务器。可以随意控制，可以是任意系统的设备，对象可以是企业，个人，政府等等所有单位。

1.3 抓鸡 利用使用量大的程序的漏洞，使用自动化方式获取肉鸡的行为。

1.4 Webshell 通过Web***的一种脚本工具，可以据此对网站服务进行一定程度的控制。

1.5 漏洞 硬件、软件、协议等等的可利用安全缺陷，可能被***者利用，对数据进行篡改，控制等。

1.6 *** 通过向服务端提交一句简短的代码，配合本地客户端实现webshell功能的***。 <%eval request("pass")%> <%execute(request("pass"))%> request("pass")接收客户端提交的数据，pass为执行命令的参数值。 eval/execute 函数执行客户端命令的内容

1.7 提权 操作系统低权限的账户将自己提升为管理员权限使用的方法。

1.8 后门 ***为了对主机进行长期的控制，在机器上种植的一段程序或留下的一个"入口"。

1.9 跳板 使用肉鸡IP来实施***其他目标，以便更好的隐藏自己的身份信息。

1.10 旁站*** 即同服务器下的网站***，***之后可以通过提权跨目录等手段拿到目标网站的权限。常见的旁站查询工具有：WebRobot、御剑、明小子和web在线查询等

1.11 C段*** 即同C段下服务器***。如目标ip为192.168.180.253 ***192.168.180.*的任意一台机器，然后利用一些***工具嗅探获取在网络上传输的各种信息。常用的工具有：在windows下有Cain，在UNIX环境下有Sniffit, Snoop, Tcpdump, Dsniff 等。 1.12 黑盒测试 在未授权的情况下，模拟***的***方法和思维方式，来评估计算机网络系统可能存在的安全风险。 黑盒测试不同于******，并不等于黑站。黑盒测试考验的是综合的能力（OS、Datebase、Script、code、思路、社工）。思路与经验积累往往决定成败。

1.13 白盒测试 相对黑盒测试，白盒测试基本是从内部发起。白盒测试与黑盒测试恰恰相反，测试者可以通过正常渠道向被测单位取得各种资料，包括网络拓扑、员工资料甚至网站或其它程序的代码片断，也能够与单位的其它员工（销售、程序员、管理者……）进行面对面的沟通。

1.13 黑白盒的另一种说法 知道源代码和不知道源代码的***测试。这时，黑盒测试还是传统的***测试，而白盒测试就偏向于代码审计。

1.14 APT*** Advanced Persistent Threat，高级可持续性***，是指组织(特别是政府)或者小团体利用先进的***手段对特定目标进行长期持续性网络***的***形式。 1.极强的隐蔽性 2.潜伏期长，持续性强 3.目标性强

   小小白听完安老师介绍后，发现自己缺少的是系统化的种植知识、风险控制意识，决定第二天就去城里找Sinesafe陈老师，谈谈服务细节，尽快把团队请过来给庄稼把脉治病，减少不必要的损失。