记录一次网站漏洞修复过程(一)：安全报告

XXXXX网站安全测试报告

 

1    测试目标和对象

1.1  测试目标

渗透测试利用网络安全扫描器、专用安全测试工具和富有经验的安全工程师的测试经验，经过网络对系统进行非破坏性质的模拟黑客攻击，目的是深刻挖掘漏洞风险、侵入系统并获取敏感信息，并将测试的过程和细节产生报告展示给用户。

1.2 测试对象

序号	IP或域名	时间	测试方式	备注
1	http://www.XXXXX.gov.cn/	2017.10	在线	XXXXX网站

2    测试结论

本次渗透对XXXXX网站进行了安全渗透检测，共发现漏洞153个，其中高危漏洞59个，中危漏洞78个，低危漏洞16个；漏洞类型主要包括sql注入、点击劫持等。测试结果可能存在误报，请手工排查。

3    测试详情

3.1  漏洞名称: sql注入

漏洞位置:

http://www.XXXXX.gov.cn/root/line.aspx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：高

漏洞说明：

经过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令

3.2  漏洞名称: 跨站脚本攻击

漏洞位置:

http://www.XXXXX.gov.cn/root/zhinan/info.aspx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：高

漏洞说明：

容许攻击者将恶意代码（一般以Javascript的形式）插入到网页，从而获取访问该网页的用户浏览器保留的任何cookie或会话令牌。

3.3  漏洞名称: IIS目录枚举

漏洞位置:

http://www.XXXXX.gov.cn/root

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：高

漏洞说明：

经过在几个版本的Microsoft IIS中使用一些向量，能够检测在Windows中具备8.3文件命名方案等效的文件和目录的短名称。例如，能够检测全部短名称的“.aspx”文件，由于它们的扩展名中有4个字母。这多是一个主要问题，特别是对于易受直接访问URL的.Net网站而言，攻击者能够找到一般不可见的重要文件和文件夹。

3.4  漏洞名称: 应用程序错误

漏洞位置:

http://www.XXXXX.gov.cn/root/peo/form.aspx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：中

漏洞说明：

此页面可能包含敏感信息、警告消息以及包含生成未处理异常的文件位置。

3.5  漏洞名称: 跨站请求伪造

漏洞位置:

http://www.XXXXX.gov.cn/root/api.asmx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：中

漏洞说明：

HTML表单未开启CSRF防御，攻击者经过假装来自受信任用户的请求来利用受信任的网站。

3.6  漏洞名称: HTTP参数污染

漏洞位置:

http://www.XXXXX.gov.cn/root/allcommon/prjedit.aspx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：中

漏洞说明：

HPP攻击包括将编码的查询字符串分隔符注入其余现有参数。若是Web应用程序没有正确地清理用户输入，恶意用户可能会损害应用程序的逻辑，以执行客户端或服务器端攻击。

3.7  漏洞名称: __VIEWSTATE参数未加密

漏洞位置:

http://www.XXXXX.gov.cn/root/default.aspx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：中

漏洞说明：

__VIEWSTATE参数未加密，增大了ViewState中存储的信息被窃取的风险。

3.8  漏洞名称: 点击劫持

漏洞位置:

http://www.XXXXX.gov.cn/（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：低

漏洞说明：

服务器没有返回X-Frame-Options标题，这意味着这个网站可能会遭受劫持攻击的风险。

3.9  漏洞名称: 文件上传

漏洞位置:

http://www.XXXXX.gov.cn/root/peoinfojiben.aspx

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：低

漏洞说明：

上传的文件可能会形成重大风险。远程攻击者能够使用特制文件名或MIME类型发送多部分/表单数据POST请求，并执行任意代码。

3.10   漏洞名称: OPTIONS方法启用

漏洞位置:

http://www.XXXXX.gov.cn/

（因为大量页面均存在此漏洞，详见附带的扫描文档）

风险等级：低

漏洞说明：

OPTIONS方法开启，存在泄漏web服务器所支持的HTTP方法的风险。

（经我团队人员手工检测，部分扫描结果为误报，故在此忽略）