信息安全技术资料-渗透ppt课件.ppt

《信息安全技术资料-渗透ppt课件.ppt》由会员分享，可在线阅读，更多相关《信息安全技术资料-渗透ppt课件.ppt（49页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、S信息安全技术交流渗透测试深圳市网安计算机安全检测技术有限公司深圳市网安计算机安全检测技术有限公司深圳市网安计算机安全检测技术有限公司一、关于渗透测试二、渗透测试常见WEB漏洞三、部分渗透测试工具介绍四、安全漏洞风险等级定义 五、常见攻击及防御主讲内容深圳市网安计算机安全检测技术有限公司安全检测主要有以下几种方式：渗透测试、审计和评估渗透测试、审计和评估。现实中，单一的检测方式可能无法达到预期的效果。在检测系统安全的时候，通常根据不同的阶段和环境选择合适的测试方式。渗透测试为最直接的检测方式，可以为安全防御提供最有价值的信息。渗透测试的结果不仅是要评估目标系统或者网络的安全性，还要决定成功攻击

2、的可行性和风险等级。什么是渗透测试深圳市网安计算机安全检测技术有限公司渗透测试（Penetration Test）是指安全渗透测试者尽可能完整地模拟黑客使用的漏洞发现技术和攻击手段，对目标网络/主机/数据库/应用的安全性作深入的探测，发现系统最脆弱的环节的过程。目前，安全业界比较流行的开源渗透测试方法体系标准包括以下几个。目前，安全业界比较流行的开源渗透测试方法体系标准包括以下几个。1.安全测试方法学开源手册（OSSTMM）2.NIST SP 800-42网络安全测试指南（NIST）3.OWASP十大Web应用安全威胁项目（OWASP Top 10）4.Web安全威胁分类标准（WASC-TC）

3、5.PTES渗透测试执行标准（PTES）渗透测试标准流程渗透测试标准流程深圳市网安计算机安全检测技术有限公司针对目前最普遍的Web应用层，为安全测试人员和开发者提供了如何识别与避免这些安全威胁的指南。OWASP十大Web应用安全威胁项目（OWASP Top Ten）只关注具有最高风险的Web领域，而不是一个普适性的渗透测试方法指南。信息收集配置管理测试认证测试会话管理测试授权测试数据验证测试拒绝服务测试WEB服务测试AJAX测试OWASP Top 10深圳市网安计算机安全检测技术有限公司PTES渗透测试执行标准是由安全业界多家领军企业技术专家所共同发起的，期望为企业组织与安全服务提供商设计并制

4、定用来实施渗透测试的通用描述准则。PTES标准中定义的渗透测试过程环节基本上反映了安全业界的普遍认同，具体包括以下7个阶段：前期交互阶段情报搜集阶段威胁建模阶段漏洞分析阶段渗透攻击阶段后渗透攻击阶段报告阶段渗透测试过程环节深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透方法分类根据渗透方法分类根据渗透方法分类根据渗透方法分类黑箱测试白盒测试隐秘测试 根据渗透目标分类根据渗透目标分类根据渗透目标分类根据渗透目标分类主机操作系统渗透数据库系统渗透 应用系统渗透网络设备渗透渗

5、透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透方法分类根据渗透方法分类根据渗透方法分类根据渗透方法分类黑箱测试白盒测试隐秘测试 黑箱测试又被称为所谓的“Zero-Knowledge Testing”，渗透者完全处于对系统一无所知的状态，通常这类型测试，最初的信息获取来自于DNS、Web、Email及各种公开对外的服务器。渗透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中

6、，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透方法分类根据渗透方法分类根据渗透方法分类根据渗透方法分类黑箱测试白盒测试隐秘测试 白盒测试与黑箱测试恰恰相反，测试者可以通过正常渠道向被测单位取得各种资料，包括网络拓扑、员工资料甚至网站或其它程序的代码片断，也能够与单位的其它员工（销售、程序员、管理者）进行面对面的沟通。这类测试的目的是模拟企业内部雇员的越权操作。渗透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透方法

7、分类根据渗透方法分类根据渗透方法分类根据渗透方法分类黑箱测试白盒测试隐秘测试 隐秘测试是对被测单位而言的，通常情况下，接受渗透测试的单位网络管理部门会收到通知：在某些时段进行测试。因此能够监测网络中出现的变化。但隐秘测试则被测单位也仅有极少数人知晓测试的存在，因此能够有效地检验单位中的信息安全事件监控、响应、恢复做得是否到位。渗透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透目标分类根据渗透目标分类根据渗透目标分类根据渗透目标分类主机操作系统渗

8、透数据库系统渗透 应用系统渗透网络设备渗透对Windows、Solaris、AIX、Linux、SCO、SGI等操作系统本身进行渗透测试。渗透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透目标分类根据渗透目标分类根据渗透目标分类根据渗透目标分类主机操作系统渗透数据库系统渗透 应用系统渗透网络设备渗透对MS-SQL、Oracle、MySQL、Informix、Sybase、DB2、Access等数据库应用系统进行渗透测试。渗透测试的分类渗透测试的

9、分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透目标分类根据渗透目标分类根据渗透目标分类根据渗透目标分类主机操作系统渗透数据库系统渗透 应用系统渗透网络设备渗透对渗透目标提供的各种应用，如ASP、CGI、JSP、PHP等组成的WWW应用进行渗透测试。渗透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司实际上渗透测试并没有严格的分类方式，即使在软件开发生命周期中，也包含了渗透测试的环节，但根据实际应用，普遍认同的几种分类方法如下：根据渗透目标分类根据渗透目

10、标分类根据渗透目标分类根据渗透目标分类主机操作系统渗透数据库系统渗透 应用系统渗透网络设备渗透对各种防火墙、入侵检测系统、网络设备进行渗透测试。渗透测试的分类渗透测试的分类深圳市网安计算机安全检测技术有限公司中间人欺骗攻击WEB攻击内网嗅探C段攻击服务器提权控制服务器渗透测试环节漏洞利用深圳市网安计算机安全检测技术有限公司远程溢出远程溢出RDP MS12-020VBScript MS14-011本地提权ASP.NET MS13-103.NET Framework MS14-009口令猜解弱口令默认密码系统层渗透相关漏洞系统层渗透相关漏洞部分渗透测试工具介绍1 1信息收集信息收集信息收集信息收集

11、1.1.1.1.Web Vulnerability ScannerWeb Vulnerability ScannerWeb Vulnerability ScannerWeb Vulnerability Scanner2.2.2.2.NessusNessusNessusNessus3.3.3.3.NmapNmapNmapNmap2 2数据分析数据分析数据分析数据分析1.1.BurpsuiteBurpsuiteBurpsuiteBurpsuite2.2.firebugfirebugfirebugfirebug3 3漏洞利用漏洞利用漏洞利用漏洞利用1.1.SqlMapSqlMapSqlMapSqlM

12、ap2.2.MetasploitMetasploitMetasploitMetasploit3.3.hackbarhackbarhackbarhackbar深圳市网安计算机安全检测技术有限公司Web Vulnerability Scanner深圳市网安计算机安全检测技术有限公司Nessus深圳市网安计算机安全检测技术有限公司Nmap深圳市网安计算机安全检测技术有限公司Burpsuite深圳市网安计算机安全检测技术有限公司firebug深圳市网安计算机安全检测技术有限公司SqlMap深圳市网安计算机安全检测技术有限公司Metasploit深圳市网安计算机安全检测技术有限公司Hackbar深圳市网

13、安计算机安全检测技术有限公司深圳市网安计算机安全检测技术有限公司网安网_网络安全服务_计算机司法鉴定_网络安全评估_深圳等级保护http:/SQL注入漏洞注入漏洞XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信

14、息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有限公司目前常见WEB漏洞攻击者可通过SQL注入对数据库进行查询、篡改等常规操作，执行权限允许的情况下，可以清空整个数据库。同时，攻击者也可通过SQL注入漏洞调用存储过程，执行系统命令、利用备份写入后门&木马等操作。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析绕过登陆验证获取数据库数据篡改数据库执行危险存储过程XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏

15、感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有限公司目前常见WEB漏洞攻击者可利用该漏洞，提交构造的跨站代码，在用户非自愿的情况下执行恶意脚本，导致会话、Cookie等信息被窃取，通过窃取到的认证信息，伪造身份进行攻击。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析执行恶意代码窃取用户会话信息获得管理权限伪造身份进行攻击XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞

16、深圳市网安计算机安全检测技术有限公司目前常见WEB漏洞由于WEB应用存在的某些缺陷，攻击者可以无视上传规则，上传非法文件，导致上传WebShell木马、后门程序，或者提权、破坏服务器内容。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析直接获取WebShell上传木马&后门或者病毒程序通过提权得到服务器控制权XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有

17、限公司目前常见WEB漏洞通过简单密码组合猜解，一旦高权限帐户密码强度不够，就容易被获取，或者暴力破解，从而得到网站管理权限，某些可能存在缺陷的后台功能，由于其他高危漏洞，导致攻击者最终获得整个服务器的最高权限。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析用户密码被猜解管理权限泄漏后台可能存在其他高风险漏洞XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有

18、限公司目前常见WEB漏洞由于WEB应用逻辑缺陷，页面存在验证不足的情况下，低权限帐号可能越权访问应用功能，或者绕过登陆验证直接进入后台。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析绕过登陆验证越权访问应用功能篡改后台设置利用其他后台漏洞进一步攻击XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有限公司目前常见WEB漏洞WEB服务器程序通过不断的更新和升级

19、，来修复程序中存在的各种漏洞。低版本可能存在高版本中已知的高危漏洞，如果没有及时升级更新或者使用的WEB服务器程序版本过低，就有可能存在没有被修复的漏洞。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析拒绝服务攻击溢出攻击任意命令执行敏感信息泄漏XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有限公司目前常见WEB漏洞应用程序错误信息，在WEB应用开发期间，

20、可以帮助开发人员快速找到Bug，修复和完善应用程序。在部署运行时，可能存在容错机制不完善，没有严格处理5xx错误等信息，导致应用程序错误信息直接暴露在浏览者面前。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析应用程序代码细节泄漏(SQL字段，代码逻辑)WEB应用错误暴露绝对路径泄漏服务器环境信息XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有限公司目前常

21、见WEB漏洞在测试服务器环境和配置的时候，可能会遗留一些测试文件。在后期维护中，操作者一时疏忽大意，往往随意重命名来保存备份文件。这些文件可能会被扫描或猜解到。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析测试文件会泄漏服务器环境信息备份文件可能存在源代码细节设置或者配置文件泄漏XSS跨站脚本漏洞跨站脚本漏洞文件上传漏洞文件上传漏洞登陆权限绕过登陆权限绕过管理帐户弱口令管理帐户弱口令WEB服务中间件漏洞服务中间件漏洞应用程序错误应用程序错误存在测试存在测试&备份文件备份文件敏感信息泄漏敏感信息泄漏SQL注入漏洞注入漏洞深圳市网安计算机安全检测技术有限公司目前常见WEB漏洞WE

22、B应用在开发或者维护中，可能会存在注释，说明等信息。比如版本更新之后的说明文件，或者源文件中的注释说明，以及暂时注释掉的代码片段，联系方式和姓名等信息。攻击者可能会收集这些信息，进行社会工程学攻击。漏洞描述漏洞描述漏洞描述漏洞描述风险分析风险分析风险分析风险分析更新说明文件可能存在配置信息注释掉的代码没有被执行存在代码处理逻辑或者文件路径信息姓名联系方式等信息可能会被社工利用深圳市网安计算机安全检测技术有限公司安全漏洞等安全漏洞等级标准准标准号标准号GB/Z 20986-2007 中文名称中文名称信息安全技术信息安全技术 信息安全事件分类分级指南信息安全事件分类分级指南英文名称英文名称Info

23、rmation security technology-Guidelines for Information security technology-Guidelines for the category and classification ofthe category and classification ofInformation security incidentsInformation security incidents发布日期发布日期2007-07-302007-07-30实施日期实施日期2007-11-012007-11-01发布单位发布单位中华人民共和国国家质量监督检验检疫总

24、局、中国国家中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会标准化管理委员会中国标准分类中国标准分类L80L80安全漏洞等级标准深圳市网安计算机安全检测技术有限公司安全漏洞等安全漏洞等级标准准标准号标准号GB/T 30279-2013GB/T 30279-2013中文名称中文名称信息安全技术信息安全技术 安全漏洞等级划分指南安全漏洞等级划分指南英文名称英文名称Information security technologyInformation security technologyVulnerability Vulnerability classification guidec

25、lassification guide发布日期发布日期2013-12-312013-12-31实施日期实施日期2014-07-152014-07-15起草单位起草单位中国信息安全测评中心、中国科学院研究生院国家计算中国信息安全测评中心、中国科学院研究生院国家计算机网络入侵防范中心、北京航空航天大学机网络入侵防范中心、北京航空航天大学归口单位归口单位全国信息安全标准化技术委员会全国信息安全标准化技术委员会中国标准分类中国标准分类L80L80安全漏洞等级标准深圳市网安计算机安全检测技术有限公司安全漏洞等级定义标准安全漏洞等级划分要素包括访问路径、利用复杂度和影响程度三方面安全漏洞等级划分要素包括访

26、问路径、利用复杂度和影响程度三方面。1访问路径访问路径访问路径的赋值包括：本地、邻接和远程，通常可被远程利用的安全漏洞危害程度高于可被邻接利用的安全漏洞，可本地利用的安全漏洞最低。2利用复杂度利用复杂度利用复杂度的赋值包括：简单和复杂，通常利用复杂度为简单的安全漏洞危害程度高。3影响程度影响程度影响程度的赋值包括：完全、部分、轻微和无，通常影响程度为完全的安全漏洞危害程度高于影响程度为部分的安全漏洞，影响程度为轻微的安全漏洞次之，影响程度为无的安全漏洞可被忽略。安全漏洞等级定义深圳市网安计算机安全检测技术有限公司安全漏洞等级划分安全漏洞的危害程度从低至高依次为：低危、中危、高危和超危。安全漏洞

27、等级划分步骤包括安全漏洞等级划分步骤包括:a)确定访问路径的赋值；确定访问路径的赋值；b)确定利用复杂度的赋值；确定利用复杂度的赋值；c)分别确定保密性、完整性和可用性的影响赋值；分别确定保密性、完整性和可用性的影响赋值；确定影响的步骤包括：确定影响的步骤包括：1.确定保密性的赋值；2.确定完整性的赋值；3.确定可用性的赋值；d)确定影响程度赋值；确定影响程度赋值；e)根据访问路径、利用复杂度和影响程度的赋值，确定安全漏洞等级根据访问路径、利用复杂度和影响程度的赋值，确定安全漏洞等级。安全漏洞等级定义深圳市网安计算机安全检测技术有限公司DDos攻击安全漏洞等级定义首先从一个比方来深入理解什么是

28、DDOS。一群恶霸试图让对面那家有着竞争关系的商铺无法正常营业，他们会采取什么手段呢？（只为举例，切勿模仿）恶霸们扮作普通客户一直拥挤在对手的商铺，赖着不走，真正的购物者却无法进入；或者总是和营业员有一搭没一搭的东扯西扯，让工作人员不能正常服务客户；也可以为商铺的经营者提供虚假信息，商铺的上上下下忙成一团之后却发现都是一场空，最终跑了真正的大客户，损失惨重。此外恶霸们完成这些坏事有时凭单干难以完成，需要叫上很多人一起。网络安全领域中DoS和DDoS攻击就遵循着这些思路。深圳市网安计算机安全检测技术有限公司DDos攻击DDosDDos攻击现象：攻击现象：1.1.被攻击主机上有大量等待的被攻击主机

29、上有大量等待的TCPTCP连接；连接；2.2.网络中充斥着大量的无用的数据包；网络中充斥着大量的无用的数据包；3.3.源地址为假造高流量无用数据，造成网络拥塞，使受害源地址为假造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯；主机无法正常和外界通讯；4.4.利用受害主机提供的传输协议上的缺陷反复高速的发出利用受害主机提供的传输协议上的缺陷反复高速的发出特定的服务请求，使主机无法处理所有正常请求；特定的服务请求，使主机无法处理所有正常请求；5.5.严重时会造成系统死机；严重时会造成系统死机；深圳市网安计算机安全检测技术有限公司DDos攻击防御DDos防御及时更新补丁，采取有效的合规性

30、配置，降低漏洞利用风险；合理划分安全域，配置防火墙、入侵检测和防范系统，减缓攻击；采用分布式组网及负载均衡技术，提升系统容量，增强总体服务能力深圳市网安计算机安全检测技术有限公司DDos攻击防御DDos防御采用高性能网络设备充足的网络带宽保证升级主机服务器硬件尽量采用静态网页寻求运营商及CDN提供商帮助查看系统日志，找出攻击源，制定相关访问控制策略深圳市网安计算机安全检测技术有限公司CC攻击 CC攻击是DDOS（分布式拒绝服务）的一种，相比其它的DDOS攻击CC似乎更有技术含量一些。这种攻击你见不到真实源IP，见不到特别大的异常流量，但造成服务器无法进行正常连接。CC攻击的原理就是攻击者控制某

31、些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC攻击是一种特殊的DDos攻击，防护方式可以借鉴DDos攻击防御方式。深圳市网安计算机安全检测技术有限公司网页挂马Iframe挂挂马马JavaScript挂马挂马图片挂马图片挂马钓鱼挂马钓鱼挂马深圳市网安计算机安全检测技术有限公司网页挂马防护网站防护增加IPS等监控设备加强网站自身的安全定期进行日志分析、代码备份检查用户端防护保护好浏览器安全防止下载恶意程序安装防病毒软件深圳市网安计算机安全检测技术有限公司网页篡改通过网络服务漏洞造成缓冲区溢出获取主机控通过WEB漏洞和设计缺陷入侵通过密码破解获取管理员权限权限访问者的机器被木马病毒劫持访问者的局域网被黑客劫持服务器所在的局域网被黑客劫持网站被入侵网站被劫持深圳市网安计算机安全检测技术有限公司网页篡改防护方法服务器及时打上补丁封闭不必要的端口编写安全的网站代码设置复查的管理员密码设置合适的网站权限安装防火墙及监控设备加强对服务器的管理深圳市网安计算机安全检测技术有限公司结束谢谢观看结束