web滲透的測試流程:
一、明確目標(biāo)(合同)
確定范圍:甲方所需要的測試范圍,ip,域名,內(nèi)外網(wǎng)等。
確定規(guī)則:滲透測試分為白盒測試和黑盒測試。
白盒測試:就是在知道目標(biāo)網(wǎng)站源碼和其他一些信息的情況下對其進(jìn)行滲透,有點(diǎn)類似于代碼分析。
黑盒測試:就是只告訴我們這個(gè)網(wǎng)站的URL,其他都不告訴,然后讓你去滲透,模擬黑客對網(wǎng)站的滲透。
確定需求:web應(yīng)用的漏洞(新上線程序),業(yè)務(wù)邏輯漏洞(針對業(yè)務(wù)的),人員權(quán)限管理漏洞(針對人員、權(quán)限)等等。根據(jù)需求和自己技術(shù)能力來確定能不能做,能做多少,能滲透到什么程度,時(shí)間,簽合同。
二、信息收集(域名、IP、端口、指紋等)
收集方式:主動(dòng)收集&被動(dòng)收集
主動(dòng)信息收集:通過直接訪問、掃描網(wǎng)站,這種流量將流經(jīng)網(wǎng)站,然后收集反饋的信息。
被動(dòng)信息收集:利用第三方的服務(wù)對目標(biāo)進(jìn)行訪問了解,比例:GoogleHacker搜索、CDN、jsfinder等。
基礎(chǔ)信息:IP,網(wǎng)段,域名,端口、操作系統(tǒng)版本、各端口的應(yīng)用及其版本,例如web應(yīng)用,郵件應(yīng)用等等。
人員信息:域名注冊人員信息,web應(yīng)用中網(wǎng)站發(fā)帖人的id,管理員姓名以及QQ號(hào),微信號(hào)等。
防護(hù)信息:試著看能否探測到防護(hù)設(shè)備,哪種防火墻什么版本。
三、漏洞探索(主機(jī)掃描、web掃描等)
通過我們收集到的信息,開始對目標(biāo)web的掃描,進(jìn)行漏洞探測環(huán)節(jié)。探測網(wǎng)站是否存在一些常見的Web漏洞。
步驟:
1、用掃描工具:awvs,IBM appscan、Owasp-Zap、Nessus等。PS:掃描器可能會(huì)對網(wǎng)站構(gòu)成傷害。
2、找漏洞的資料:結(jié)合漏洞去exploit-db漏洞庫等位置找利用。
3、舉例說明該漏洞:找漏洞在網(wǎng)上尋找驗(yàn)證poc觀點(diǎn)證明。
漏洞:
1、系統(tǒng)漏洞:系統(tǒng)沒有及時(shí)打補(bǔ)丁。
2、Websever漏洞:Websever配置問題。
3、Web應(yīng)用漏洞:SQL注入、XSS、CSRF、XXE、SSRF、反序列化漏洞等。
4、其它端口服務(wù)漏洞:各種21/8080(st2)/7001/22/3389。
5、通信安全:明文傳輸,token在cookie中傳送等。
6、弱口令漏洞:目標(biāo)網(wǎng)站管理入口使用了容易被猜測的簡單字符口令、或者是默認(rèn)系統(tǒng)賬號(hào)口令。
7、文件下載(目錄瀏覽)漏洞:對用戶查看或下載的文件不做限制,用戶能下載任意的文件。
8、任意文件上傳漏洞:目標(biāo)網(wǎng)站允許用戶向網(wǎng)站直接上傳文件,但未對所上傳文件進(jìn)行嚴(yán)格的過濾。
9、內(nèi)部后臺(tái)地址暴露:一些僅被內(nèi)部訪問的地址,對外部暴露了。
10、失效的身份認(rèn)證:通過錯(cuò)誤使用身份認(rèn)證和會(huì)話管理功能,攻擊者能夠破譯密碼、密鑰或會(huì)話令牌
11、失效的訪問控制:未對通過身份驗(yàn)證的用戶實(shí)施恰當(dāng)?shù)脑L問控制。
12、業(yè)務(wù)邏輯漏洞
四、漏洞驗(yàn)證(核實(shí)該漏洞和風(fēng)險(xiǎn)評級(jí))
將上一步中發(fā)現(xiàn)的有可能可以成功利用的全部漏洞都驗(yàn)證一遍。結(jié)合實(shí)際情況,搭建模擬環(huán)境進(jìn)行試驗(yàn)。
自動(dòng)化驗(yàn)證:結(jié)合自動(dòng)化掃描工具提供的結(jié)果。
手工驗(yàn)證:根據(jù)公開資源進(jìn)行驗(yàn)證。
試驗(yàn)驗(yàn)證:自己搭建模擬環(huán)境進(jìn)行驗(yàn)證。
登陸猜解:有時(shí)可以嘗試猜試一下登陸口的賬號(hào)密碼等信息。
業(yè)務(wù)漏洞驗(yàn)證:如發(fā)現(xiàn)業(yè)務(wù)漏洞,要進(jìn)行驗(yàn)證。
五、后續(xù)滲透(需要按照合同內(nèi)容來,這個(gè)環(huán)節(jié)可能不需要)
漏洞利用:當(dāng)我們拿到了該網(wǎng)站存在漏洞之后,就可以進(jìn)一步拿到網(wǎng)站的webshell。
內(nèi)網(wǎng)轉(zhuǎn)發(fā):如果我們還想進(jìn)一步的探測內(nèi)網(wǎng)主機(jī)的信息的話,我們就需要進(jìn)行內(nèi)網(wǎng)轉(zhuǎn)發(fā)了。
內(nèi)網(wǎng)橫向滲透:當(dāng)我們在獲取了外網(wǎng)服務(wù)器的權(quán)限,我們要想盡辦法從該服務(wù)器上查找到我們想要的信息。
權(quán)限維持:一般我們對客戶做滲透不需要。rookit,后門,添加管理賬號(hào),駐扎手法等。
清理痕跡:最主要還是要以隱藏自身身份為主,最好的手段是在滲透前掛上代理,然后在滲透后痕跡清除。
六、形成報(bào)告(漏洞描述、測試過程、風(fēng)險(xiǎn)評級(jí)、安全建議)
整理滲透工具:整理滲透過程中用到的代碼,poc,exp等
整理收集信息:整理滲透過程中收集到的一切信息
整理漏洞信息:整理滲透過程中遇到的各種漏洞,各種脆弱位置信息
漏洞補(bǔ)充介紹:要對漏洞成因,驗(yàn)證過程和帶來危害進(jìn)行分析
安全修補(bǔ)建議:當(dāng)然要對所有產(chǎn)生的問題提出合理高效安全的解決辦法
以上就是小編的分享,希望可以幫助到大家。