無國界WEB滲透測試流程詳解
無國界 2019-06-27
滲透測試是指滲透人員通過模擬惡意黑客的攻擊方法，從內(nèi)網(wǎng)、從外網(wǎng)等位置利用各種手段對某個特定網(wǎng)絡進行測試，發(fā)現(xiàn)和挖掘系統(tǒng)中存在的漏洞或技術(shù)缺陷，然后輸出滲透測試報告，并提交給客戶。這樣，客戶便可以根據(jù)滲透人員提供的滲透測試報告，清晰知曉其網(wǎng)絡系統(tǒng)中存在的安全隱患和問題。
一般情況，滲透測試服務的大致流程分為六個步驟：
1.明確目標
2.信息收集
3.漏洞探測
4.漏洞驗證
5.漏洞攻擊：利用漏洞，獲取數(shù)據(jù)，后滲透測試
6.信息整理及滲透測試報告輸出
第一步：明確目標
1）確定范圍：測試的范圍，如：IP、域名、內(nèi)外網(wǎng)、整站or部分模塊
2）確定規(guī)則：能滲透到什么程度（發(fā)現(xiàn)漏洞為止or繼續(xù)利用漏洞）、時間限制、能否修改上傳、能否提權(quán)...
目標系統(tǒng)介紹、重點保護對象及特性。
是否允許數(shù)據(jù)破壞？
是否允許阻斷業(yè)務正常運行？
測試之前是否應當知會相關(guān)部門接口人？
接入方式？外網(wǎng)和內(nèi)網(wǎng)？
3）確定需求：web應用的漏洞？業(yè)務邏輯漏洞？人員權(quán)限管理漏洞？
4）分析滲透測試過程中可能產(chǎn)生的風險，如大量測試數(shù)據(jù)的處理、影響正常業(yè)務開展、服務器發(fā)生異常的應急、數(shù)據(jù)備份和恢復、測試人力及物力等成本。
5）測試方書寫實施方案并提交給客戶或領(lǐng)導進行審核。在審核完成后，從客戶或領(lǐng)導處獲取對測試方進行書面委托授權(quán)書，授權(quán)測試方進行滲透測試。
第二步：信息收集
在信息收集階段，我們需要盡量多的收集關(guān)于目標web應用的各種信息，比如：腳本語言的類型、服務器的類型、目錄的結(jié)構(gòu)、使用的開源軟件、數(shù)據(jù)庫類型、所有鏈接頁面，用到的框架等。
方式：主動掃描；開放搜索
開放搜索：利用搜索引擎獲得后臺、未授權(quán)頁面、敏感url
基礎(chǔ)信息：IP，網(wǎng)段，域名，端口
系統(tǒng)信息：操作系統(tǒng)版本
應用信息：各端口的應用，例如web應用，郵件應用等
版本信息：所有探測到的版本
服務信息：服務器類型、版本
人員信息：域名注冊人員信息，web應用中網(wǎng)站發(fā)帖人的id，管理員姓名等
防護信息：試測能否探測到防護設備
第三步：漏洞探測
在收集到足夠多的信息之后，便開始對WEB應用進行漏洞探測了，探測網(wǎng)站是否存在一些常見的Web漏洞。
漏洞探測方法：
1）漏洞掃描工具：AWVS、AppScan、Owasp-Zap、Nessus等
2）結(jié)合漏洞去exploit-db等位置找利用
3）在網(wǎng)上尋找驗證POC
內(nèi)容：
系統(tǒng)漏洞：系統(tǒng)沒有及時打補丁
Websever漏洞：Websever配置問題
Web應用漏洞：Web應用開發(fā)問題
其它端口服務漏洞：各種21/8080(st2)/7001/22/3389
通信安全：明文傳輸，token在cookie中傳送等
常見漏洞，比如：
SQL注入
XSS跨站腳本
CSRF跨站請求偽造
XXE漏洞
SSRF服務端請求偽造漏洞
文件包含漏洞
文件上傳漏洞
文件解析漏洞
遠程代碼執(zhí)行漏洞
CORS跨域資源共享漏洞
越權(quán)訪問漏洞
目錄瀏覽漏洞和任意文件讀取/下載漏洞
struts2漏洞
JAVA反序列化漏洞
第四步：漏洞驗證
將上一步中發(fā)現(xiàn)的可能成功被利用的漏洞都驗證一遍。結(jié)合實際情況，搭建模擬環(huán)境進行試驗，成功后再應用于目標中。
自動化驗證：結(jié)合自動化掃描工具提供的結(jié)果
手工驗證：根據(jù)公開資源進行驗證
試驗驗證：自己搭建模擬環(huán)境進行驗證
登錄猜解：有時可以嘗試猜解一下登陸口的賬號密碼等信息
業(yè)務漏洞驗證：如發(fā)現(xiàn)業(yè)務漏洞，要進行驗證
公開資源的利用
exploit-db/wooyun/
滲透代碼網(wǎng)站
通用、缺省口令
廠商的漏洞警告等
第五步：漏洞攻擊：利用漏洞，獲取數(shù)據(jù)，后滲透測試
進一步滲透：內(nèi)網(wǎng)入侵，敏感目標
持續(xù)性存在：一般對客戶做滲透不需要rookit，后門，添加管理賬號，駐扎手法等
清理痕跡：清理相關(guān)日志（訪問，操作），上傳文件等
第六步：信息整理及滲透測試報告輸出
在完成了滲透測試之后，我們就需要整理資料，對這次滲透測試撰寫滲透測試報告了。需要對漏洞成因，驗證過程和帶來危害進行分析。明確寫出哪里存在漏洞，以及漏洞修補的方法，以便于網(wǎng)站管理員根據(jù)我們的滲透測試報告修補這些漏洞和風險，防止被黑客攻擊！
以上內(nèi)容由四川無國界(www.mqptxio.cn) 整理編輯——專業(yè)從事網(wǎng)絡信息安全培訓與IT風險管理咨詢服務。
一般情況，滲透測試服務的大致流程分為六個步驟：
1.明確目標
2.信息收集
3.漏洞探測
4.漏洞驗證
5.漏洞攻擊：利用漏洞，獲取數(shù)據(jù)，后滲透測試
6.信息整理及滲透測試報告輸出
1）確定范圍：測試的范圍，如：IP、域名、內(nèi)外網(wǎng)、整站or部分模塊
2）確定規(guī)則：能滲透到什么程度（發(fā)現(xiàn)漏洞為止or繼續(xù)利用漏洞）、時間限制、能否修改上傳、能否提權(quán)...
目標系統(tǒng)介紹、重點保護對象及特性。
是否允許數(shù)據(jù)破壞？
是否允許阻斷業(yè)務正常運行？
測試之前是否應當知會相關(guān)部門接口人？
接入方式？外網(wǎng)和內(nèi)網(wǎng)？
3）確定需求：web應用的漏洞？業(yè)務邏輯漏洞？人員權(quán)限管理漏洞？
4）分析滲透測試過程中可能產(chǎn)生的風險，如大量測試數(shù)據(jù)的處理、影響正常業(yè)務開展、服務器發(fā)生異常的應急、數(shù)據(jù)備份和恢復、測試人力及物力等成本。
5）測試方書寫實施方案并提交給客戶或領(lǐng)導進行審核。在審核完成后，從客戶或領(lǐng)導處獲取對測試方進行書面委托授權(quán)書，授權(quán)測試方進行滲透測試。
第二步：信息收集
在信息收集階段，我們需要盡量多的收集關(guān)于目標web應用的各種信息，比如：腳本語言的類型、服務器的類型、目錄的結(jié)構(gòu)、使用的開源軟件、數(shù)據(jù)庫類型、所有鏈接頁面，用到的框架等。
方式：主動掃描；開放搜索
開放搜索：利用搜索引擎獲得后臺、未授權(quán)頁面、敏感url
基礎(chǔ)信息：IP，網(wǎng)段，域名，端口
系統(tǒng)信息：操作系統(tǒng)版本
應用信息：各端口的應用，例如web應用，郵件應用等
版本信息：所有探測到的版本
服務信息：服務器類型、版本
人員信息：域名注冊人員信息，web應用中網(wǎng)站發(fā)帖人的id，管理員姓名等
防護信息：試測能否探測到防護設備
第三步：漏洞探測
在收集到足夠多的信息之后，便開始對WEB應用進行漏洞探測了，探測網(wǎng)站是否存在一些常見的Web漏洞。
漏洞探測方法：
1）漏洞掃描工具：AWVS、AppScan、Owasp-Zap、Nessus等
2）結(jié)合漏洞去exploit-db等位置找利用
3）在網(wǎng)上尋找驗證POC
內(nèi)容：
系統(tǒng)漏洞：系統(tǒng)沒有及時打補丁
Websever漏洞：Websever配置問題
Web應用漏洞：Web應用開發(fā)問題
其它端口服務漏洞：各種21/8080(st2)/7001/22/3389
通信安全：明文傳輸，token在cookie中傳送等
常見漏洞，比如：
SQL注入
XSS跨站腳本
CSRF跨站請求偽造
XXE漏洞
SSRF服務端請求偽造漏洞
文件包含漏洞
文件上傳漏洞
文件解析漏洞
遠程代碼執(zhí)行漏洞
CORS跨域資源共享漏洞
越權(quán)訪問漏洞
目錄瀏覽漏洞和任意文件讀取/下載漏洞
struts2漏洞
JAVA反序列化漏洞
第四步：漏洞驗證
將上一步中發(fā)現(xiàn)的可能成功被利用的漏洞都驗證一遍。結(jié)合實際情況，搭建模擬環(huán)境進行試驗，成功后再應用于目標中。
自動化驗證：結(jié)合自動化掃描工具提供的結(jié)果
手工驗證：根據(jù)公開資源進行驗證
試驗驗證：自己搭建模擬環(huán)境進行驗證
登錄猜解：有時可以嘗試猜解一下登陸口的賬號密碼等信息
業(yè)務漏洞驗證：如發(fā)現(xiàn)業(yè)務漏洞，要進行驗證
公開資源的利用
exploit-db/wooyun/
滲透代碼網(wǎng)站
通用、缺省口令
廠商的漏洞警告等
第五步：漏洞攻擊：利用漏洞，獲取數(shù)據(jù)，后滲透測試
進一步滲透：內(nèi)網(wǎng)入侵，敏感目標
持續(xù)性存在：一般對客戶做滲透不需要rookit，后門，添加管理賬號，駐扎手法等
清理痕跡：清理相關(guān)日志（訪問，操作），上傳文件等
第六步：信息整理及滲透測試報告輸出
在完成了滲透測試之后，我們就需要整理資料，對這次滲透測試撰寫滲透測試報告了。需要對漏洞成因，驗證過程和帶來危害進行分析。明確寫出哪里存在漏洞，以及漏洞修補的方法，以便于網(wǎng)站管理員根據(jù)我們的滲透測試報告修補這些漏洞和風險，防止被黑客攻擊！
以上內(nèi)容由四川無國界(www.mqptxio.cn) 整理編輯——專業(yè)從事網(wǎng)絡信息安全培訓與IT風險管理咨詢服務。
