IT服务

渗透测试服务数据恢复服务数据迁移服务漏洞扫描IT规划咨询服务IT维保服务IT专家服务弱电服务


一、什么是渗透测试?

        渗透测试就是一种通过模拟使用黑客的技术和方法,挖掘目标系统的安全漏洞,取得系统的控制权,访问系统的机密数据,并发现可能影响业务持续运作安全隐患的一种安全测试和评估方式。

image.png


二、为什么要进行渗透测试?

        渗透测试和黑客入侵最大区别在于渗透测试是经过客户授权,采用可控制、非破坏性质的方法和手段发现目标和网络设备中存在弱点,帮助管理者知道自己网络所面临的问题,同时提供安全加固建议, 帮助客户提升系统的安全性。

image.png


1、黑盒测试:是指测试人员在不清楚被测单位内部技术架构的情况下,从外部对网络设施的安全性进行测试的过程。黑盒测试借助于真实世界的黑客方法,黑客工具,有组织有步骤的对目标系统进行逐步的渗透和入侵,揭示目标系统中一些已知的和未知的安全漏洞,并评估这些漏洞是否可以被不法分子利用,并造成业务和资产损失。

 

2、白盒测试: 测试人员可以获取被测单位的网络结构和各种底层技术. 在此基础上,使用针对性的测试方法和工具,可以以较小的代价发现和验证系统最严重的安全漏洞 。 两者各有利弊,需结合进行。

 

3、灰盒测试:渗透测试人员可以根据对目标系统获取的有限的知识和信息,选择渗透测试的最佳路径,渗透测试者也需要从外部逐渐的渗透进入内部网络,同时,他们所拥有的目标网络底层拓扑结构有助于他更好的选择攻击途径和方法,从而达到更好的渗透测试效果。


三、服务流程

image.png



四、功能服务

image.png

     ● 信息收集

 

  信息收集分析是所有入侵攻击的前提/前奏/基础。通过对网络信息收集分析,可以相应地、有针对性地制定模拟黑客入侵攻击的计划,以提高入侵的成功率、减小暴露或被发现的几率。信息收集的方法包括主机网络扫描、操作类型判别、应用判别、账号扫描、配置判别等等。

 

  ● 端口扫描

 

  通过对目标地址的TCP/UDP端口扫描,确定其所开放的服务的数量和类型,这是所有渗透测试的基础。通过端口扫描,可以基本确定一个系统的基本信息,结合测试人员的经验可以确定其可能存在,以及被利用的安全弱点,为进行深层次的渗透提供依据。

 

  ● 权限提升

 

  通过收集信息和分析,存在两种可能性,其一是目标系统存在重大弱点:测试人员可以直接控制目标系统,然后直接调查目标系统中的弱点分布、原因,形成最终的测试报告;其二是目标系统没有远程重大弱点,但是可以获得远程普通权限,这时测试人员可以通过该普通权限进一步收集目标系统信息。接下来,尽最大努力获取本地权限,收集本地资料信息,寻求本地权限升级的机会。这些不停的信息收集分析、权限升级的结果将构成此次项目整个渗透测试过程的输出。

 

  ● 溢出测试

 

  当测试人员无法直接利用帐户口令登陆系统时,也会采用系统溢出的方法直接获得系统控制权限,此方法有时会导致系统死机或从新启动,但不会导致系统数据丢失,如出现死机等故障,只要将系统从新启动并开启原有服务即可。一般情况下,如果未授权,将不会进行此项测试。

 

● WEB应用测试

image.png

 

  Web脚本及应用测试专门针对Web及数据库服务器进行。根据最新的统计,脚本安全弱点为当前Web系统,尤其是存在动态内容的Web系统比较严重的安全弱点之一。利用脚本相关弱点轻则可以获取系统其他目录的访问权限,重则将有可能取得系统的控制权限。因此对于含有动态页面的Web、数据库等系统,Web脚本及应用测试将是必不可少的一个环节。

 

  ● SQL注入攻击

 

  SQL注入常见于应用了SQL 数据库后端的网站服务器,入侵者通过提交某些特殊SQL语句,最终可能获取、篡改、控制网站服务器端数据库中的内容。此类漏洞是入侵者最常用的入侵方式之一。

 

  ● 检测页面隐藏字段

 

  网站应用系统常采用隐藏字段存储信息。许多基于网站的电子商务应用程序用隐藏字段来存储商品价格、用户名、密码等敏感内容。恶意用户通过操作隐藏字段内容达到恶意交易和窃取信息等行为,是一种非常危险的漏洞。

 

  ● 跨站攻击

 

入侵者可以借助网站来攻击访问此网站的终端用户,来获得用户口令或使用站点挂马来控制客户端。

 

  ● Cookie利用

 

网站应用系统常使用cookies 机制在客户端主机上保存某些信息,例如用户ID、口令、时戳等。入侵者可能通过篡改cookies 内容,获取用户的账号,导致严重的后果。

 

  ● 后门程序检查

 

系统开发过程中遗留的后门和调试选项可能被入侵者所利用,导致入侵者轻易地从捷径实施攻击。

 

  ● 第三方软件误配置

 

  第三方软件的错误设置可能导致入侵者利用该漏洞构造不同类型的入侵攻击。


公司总机

028-85256723

公司地址:

四川省成都市武侯区天府三街新希望国际B座611

企业邮箱:

2355410072@qq.com

成都联杰易达科技有限公司 版权所有 蜀ICP备17019999号-1 | 技术支持:明腾网络 站长统计