***测试是什么?网络安全学习中,web***的测试流程是怎样的?web
***测试就是利用咱们所掌握的***知识,对网站进行一步一步的***,发现其中存在的漏洞和隐藏的风险,而后撰写一篇测试报告,提供给咱们的客户。shell
web***的测试流程:安全
1.明确目标(合同)服务器
肯定范围:甲方所须要的测试范围,ip,域名,内外网等。微信
肯定规则:***测试分为白盒测试和黑盒测试cookie
白盒测试:就是在知道目标网站源码和其余一些信息的状况下对其进行***,有点相似于代码分析网络
黑盒测试:就是只告诉咱们这个网站的URL,其余都不告诉,而后让你去***,模拟***对网站的***app
肯定需求:web应用的漏洞(新上线程序),业务逻辑漏洞(针对业务的),人员权限管理漏洞(针对人员、权限)等等。根据需求和本身技术能力来肯定能不能作,能作多少,能***到什么程度,时间,签合同。ide
2.信息收集(域名、IP、端口、指纹等)工具
收集方式:主动收集&被动收集
主动信息收集:经过直接访问、扫描网站,这种流量将流经网站,而后收集反馈的信息。
被动信息收集:利用第三方的服务对目标进行访问了解,比例:GoogleHacker搜索、CDN、jsfinder等。
基础信息:IP,网段,域名,端口、操做系统版本、各端口的应用及其版本,例如web应用,邮件应用等等。
人员信息:域名注册人员信息,web应用中网站发帖人的id,管理员姓名以及QQ号,微信号等。
防御信息:试着看可否探测到防御设备,哪一种防火墙什么版本。
3.漏洞探索(主机扫描、web扫描等)
经过咱们收集到的信息,开始对目标web的扫描,进行漏洞探测环节。探测网站是否存在一些常见的Web漏洞
步骤:
1.用扫描工具:awvs,IBM appscan、Owasp-Zap、Nessus等。PS:扫描器可能会对网站构成伤害
2.找漏洞的资料:结合漏洞去exploit-db漏洞库等位置找利用。
3.举例说明该漏洞:找漏洞在网上寻找验证poc观点证实。
漏洞:
1.系统漏洞:系统没有及时打补丁。
2.Websever漏洞:Websever配置问题。
3.Web应用漏洞:SQL注入、XSS、CSRF、XXE、***F、反序列化漏洞等。
4.其它端口服务漏洞:各类21/8080(st2)/7001/22/3389。
5.通讯安全:明文传输,token在cookie中传送等。
6.弱口令漏洞:目标网站管理入口使用了容易被猜想的简单字符口令、或者是默认系统帐号口令。
7.文件下载(目录浏览)漏洞:对用户查看或下载的文件不作限制,用户能下载任意的文件。
8.任意文件上传漏洞:目标网站容许用户向网站直接上传文件,但未对所上传文件进行严格的过滤。
9.内部后台地址暴露:一些仅被内部访问的地址,对外部暴露了
10.失效的身份认证:经过错误使用身份认证和会话管理功能,***者可以破译密码、密钥或会话令牌
11.失效的访问控制:未对经过身份验证的用户实施恰当的访问控制。
12.业务逻辑漏洞
4.漏洞验证(核实该漏洞和风险评级)
将上一步中发现的有可能能够成功利用的所有漏洞都验证一遍。结合实际状况,搭建模拟环境进行试验。
自动化验证:结合自动化扫描工具提供的结果。
手工验证:根据公开资源进行验证。
试验验证:本身搭建模拟环境进行验证。
登录猜解:有时能够尝试猜试一下登录口的帐号密码等信息。
业务漏洞验证:如发现业务漏洞,要进行验证。
5.后续***(须要按照合同内容来,这个环节可能不须要)
漏洞利用:当咱们拿到了该网站存在漏洞以后,就能够进一步拿到网站的webshell。
内网转发:若是咱们还想进一步的探测内网主机的信息的话,咱们就须要进行内网转发了。
内网横向***:当咱们在获取了外网服务器的权限,咱们要想尽办法从该服务器上查找到咱们想要的信息。
权限维持:通常咱们对客户作***不须要。rookit,后门,添加管理帐号,驻扎手法等。
清理痕迹:最主要仍是要以隐藏自身身份为主,最好的手段是在***前挂上代理,而后在***后痕迹清除。
6.造成报告(漏洞描述、测试过程、风险评级、安全建议)
整理***工具:整理***过程当中用到的代码,poc,exp等
整理收集信息:整理***过程当中收集到的一切信息
整理漏洞信息:整理***过程当中遇到的各类漏洞,各类脆弱位置信息
漏洞补充介绍:要对漏洞成因,验证过程和带来危害进行分析
安全修补建议:固然要对全部产生的问题提出合理高效安全的解决办法