信息安全測評實(shí)驗(yàn)三概要

1、信 息 安 全 測 評 實(shí) 驗(yàn) 三概 要精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除西南科技大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院實(shí)驗(yàn)報(bào)告實(shí) 驗(yàn) 名 稱網(wǎng)站應(yīng)用安全測評及加固實(shí) 驗(yàn) 地 點(diǎn)實(shí) 驗(yàn) 日 期指 導(dǎo) 教 師學(xué) 生 班 級學(xué) 生 姓 名學(xué) 生 學(xué) 號提 交 日 期2015年 3 月信息安全系制精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除一、實(shí)驗(yàn)?zāi)康耐ㄟ^對網(wǎng)站系統(tǒng)進(jìn)行安全測評和安全加固，掌握應(yīng)用安全測評方案的設(shè)計(jì)、安全測評實(shí)施及結(jié)果分析；掌握安全加固的方法。二、實(shí)驗(yàn)題目根據(jù)信息系統(tǒng)安全等級保護(hù)基本要求的第三級基本要求，按照實(shí)驗(yàn)指導(dǎo)書中的示范，對網(wǎng)

2、站應(yīng)用進(jìn)行安全測評，安全等級為三級選用應(yīng)用網(wǎng)站網(wǎng)址： 5/index.html 三、實(shí)驗(yàn)設(shè)計(jì)應(yīng)用安全涉及人類工作和生活的方方面面，為了考慮計(jì)算機(jī)應(yīng)用系統(tǒng)的安全，需要逐一分析各行各業(yè)的特點(diǎn)，可是這是難以做到的。因此，我們只能把握計(jì)算機(jī)應(yīng)用系統(tǒng)的基礎(chǔ)，有什么樣的安全測評要求，以便在這條“高速公路”上行駛的“人員”能夠“放心駕駛”。至于“他們開什么樣的車，開往何方”等，則只好在今后的測評工作中就事論事了。國家標(biāo)準(zhǔn)從管理和技術(shù)兩個(gè)層面，對應(yīng)用安全測評提出了若干條款。按照三級要求，國家標(biāo)準(zhǔn)中把應(yīng)用安全的分為身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、通信完整性、通信保密性、

3、抗抵賴、軟件容錯(cuò)和資源控制九個(gè)方面。（1）身份鑒別。b) 應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；可以通過登陸時(shí)是否需要驗(yàn)證以及具體需要驗(yàn)證的種類來查看。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（2）訪問控制。e) 應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；f) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；通過訪問管理員的方式。（3）安全審計(jì)。b) 應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄；查看二進(jìn)制日志是否有修改編輯的選項(xiàng)。d) 應(yīng)提供對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。查看二進(jìn)制日志是否有

4、自動分析過濾生成報(bào)表的功能。（4）剩余信息保護(hù)。a) 應(yīng)保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全清除。1.詢問管理員，具體措施有哪些。2.檢查設(shè)計(jì) /驗(yàn)收文檔。3.以普通用戶身份登錄并進(jìn)行一些操作。（5）通信完整性。應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。訪問管理員在通信過程中是否對數(shù)據(jù)加密?；蛘卟榭聪到y(tǒng)設(shè)置，看是否有對信息加密處理的選項(xiàng)設(shè)置。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（6）通信保

5、密性。b) 應(yīng)對通信過程中的整個(gè)報(bào)文或會話過程進(jìn)行加密。訪問管理員在通信過程中是否對信息加密。或者查看系統(tǒng)設(shè)置，看是否有對信息加密處理的選項(xiàng)設(shè)置。（7）抗抵賴。a) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。訪問管理員，詢問系統(tǒng)是否具有抗抵賴性，具體措施有哪些。（8）軟件容錯(cuò)。b) 應(yīng)提供自動保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)。采用滲透測試的方法來驗(yàn)證系統(tǒng)中是否存在明顯的弱點(diǎn)。（9）資源控制。d) 應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制；e) 應(yīng)能夠?qū)σ粋€(gè)訪問帳戶

6、或一個(gè)請求進(jìn)程占用的資源分配最大限額和最小限額；f) 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警；g) 應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進(jìn)程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。1.訪問管理員，是否有相應(yīng)措施。2.查看資源控制列表，是否有相應(yīng)選項(xiàng)。四、實(shí)驗(yàn)記錄精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除1) 身份鑒別本項(xiàng)要求包括：a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別；（1）訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否提供專用的登錄控制模塊對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，采用何種方式對用戶進(jìn)行身份標(biāo)識和鑒別。預(yù)

7、期結(jié)果：在業(yè)務(wù)需要的情況下應(yīng)該提供專用的登錄控制模塊對登錄的用戶進(jìn)行身份標(biāo)識和鑒別。（2）檢查應(yīng)用系統(tǒng)，查看用戶是否必須通過專用的登錄控制模塊才能登錄該系統(tǒng)，查看身份標(biāo)識和鑒別的方式。步驟：打開 http:/目標(biāo)主機(jī) ip 地址/dede/login.php，查看用戶是否需要進(jìn)行身份標(biāo)識和鑒別。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：需要進(jìn)行身份標(biāo)識和鑒別，用戶必須通過專用的登陸控制模塊才能登陸系統(tǒng)。（3）以某注冊用戶身份登錄系統(tǒng)，查看登錄是否成功。步驟：打開 http:/目標(biāo)主機(jī) ip 地址/dede/login.php，然后用注冊賬戶 admin

8、，密碼 admin 登錄系統(tǒng)。查看是否能夠登錄成功；精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：用正確的注冊用戶身份可以登錄系統(tǒng)。（4）以非法用戶身份登錄系統(tǒng)，查看登錄是否成功。步驟：在登錄欄處，隨意輸入一個(gè)未經(jīng)注冊的非法用戶，查看是否能夠登錄成功。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：用非注冊用戶身份或者錯(cuò)誤的注冊用戶身份信息不可以登錄系統(tǒng)。b) 應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用；（1）詢問應(yīng)用系統(tǒng)管理員，應(yīng)用系統(tǒng)的用戶身份標(biāo)識是否

9、唯一。采取了什么措施防止身份鑒別信息被冒用。測試結(jié)果 ：用戶身份標(biāo)識唯一，并采取措施防止身份鑒別信息被冒用。（2）檢查總體規(guī)劃 /設(shè)計(jì)文檔，查看其是否有系統(tǒng)采取了唯一標(biāo)識的說明。查看其身份鑒別信息是否具有不易被冒用的特點(diǎn)。測試結(jié)果 ：對用戶身份唯一標(biāo)識有文檔說明。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（3）檢查應(yīng)用系統(tǒng)是否有專門的設(shè)置保證用戶身份鑒別信息不易被冒用，如果應(yīng)用系統(tǒng)采用口令進(jìn)行身份鑒別，則查看是否有選項(xiàng)或設(shè)置強(qiáng)制要求口令長度、復(fù)雜度、定期修改等。步驟 1：使用正確用戶名和密碼登錄后臺，依次點(diǎn)擊系統(tǒng) - 系統(tǒng)用戶管理 ，在出現(xiàn)的界面上點(diǎn)擊 更改選項(xiàng)，

10、進(jìn)入后會看到相應(yīng)的修改提示。步驟 2：按照修改提示設(shè)置新的用戶密碼，檢查系統(tǒng)是否配備了鑒別信息復(fù)雜度的檢查功能。在檢查時(shí)，使用簡單口令，如“ 1”，輸入安全驗(yàn)證串，然后點(diǎn)擊 保存用戶 ，查看系統(tǒng)是否具有口令復(fù)雜度檢查功能。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除預(yù)期結(jié)果 ：應(yīng)有口令長度、復(fù)雜度的設(shè)置，并可以控制用戶口令是否進(jìn)行定期修改。（ 4）以已有的用戶名重新注冊，測試系統(tǒng)是否禁止該操作。步驟 1：依次點(diǎn)擊 系統(tǒng) - 系統(tǒng)用戶管理 ，在出現(xiàn)的界面上點(diǎn)擊 增加管理員 選項(xiàng)。步驟 2:用已注冊用戶名 admin 嘗試注冊。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好

11、資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：禁止已有用戶名的重新注冊，提供了用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能。（5）掃描應(yīng)用系統(tǒng)，測試其鑒別信息復(fù)雜度檢查功能，檢查系統(tǒng)是否不允許存在弱口令、空口令等。步驟 1：在添加用戶時(shí)，在密碼處不輸入任何字符，查看是否允許存在空口令操作。步驟 2：在添加用戶時(shí)，在密碼處輸入簡單字符，如“11”，查看是否允許存在弱口令操作。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：允許存在弱口令、空口令。c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；（1）詢問管理員應(yīng)用系統(tǒng)是否具有登錄失敗處理

12、的功能（如結(jié)束會話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動退出等），是如何進(jìn)行處理的。測試結(jié)果 ：應(yīng)當(dāng)限制登錄失敗次數(shù)。當(dāng)?shù)卿涍B接超時(shí)，應(yīng)當(dāng)自動退出或提示。（2）檢查應(yīng)用系統(tǒng)，如果有登錄失敗處理設(shè)置選項(xiàng)或模塊，查看系統(tǒng)是否設(shè)置或選中了該功能。步驟：點(diǎn)擊系統(tǒng)設(shè)置，查看是否有登錄失敗處理設(shè)置或模塊，再進(jìn)行查看。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：登錄失敗時(shí)沒有相應(yīng)提示或處理選項(xiàng)、模塊。（3）根據(jù)應(yīng)用系統(tǒng)使用的登錄失敗處理方式，采用如下測試方法之一或全部：步驟 1：以錯(cuò)誤的用戶名或密碼登錄系統(tǒng)，查看系統(tǒng)的反應(yīng)。步驟 2：以系統(tǒng)規(guī)定的非法登錄次數(shù)登錄系統(tǒng)

13、，查看系統(tǒng)的反應(yīng)。步驟 3：登錄系統(tǒng)進(jìn)行連接超時(shí)時(shí)，查看系統(tǒng)的反應(yīng)。測試結(jié)果 ：用錯(cuò)誤的用戶名或密碼無法登錄。登錄失敗次數(shù)超出限制時(shí)，系統(tǒng)有相應(yīng)處理。登錄系統(tǒng)超時(shí)后有相應(yīng)處理。d) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。步驟 1：詢問系統(tǒng)管理員應(yīng)用系統(tǒng)的身份鑒別、身份標(biāo)識唯一性檢查、鑒別信息復(fù)雜度檢查以及登錄失敗處理功能是否有專門的模塊或選項(xiàng)，是否有相關(guān)參數(shù)需要配置。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：對身份鑒別、身份標(biāo)識唯一性檢查、鑒別信息復(fù)雜度檢查以及登錄失敗處理功

14、能應(yīng)有專門的模塊、選項(xiàng)或配置參數(shù)。步驟 2：如果有參數(shù)需要配置，則查看實(shí)際配置情況，是否已經(jīng)啟用上述功能。測試結(jié)果 ：如有相關(guān)參數(shù)配置，應(yīng)開啟了上述功能。e) 應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；步驟：打開 http:/目標(biāo)主機(jī) ip 地址/dede/login.php，然后查看如何才能夠登錄成功；方法 2：以管理員 root的身份登陸，而后查看【系統(tǒng)】-【驗(yàn)證安全設(shè)置】選項(xiàng)精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：使用了驗(yàn)證碼和用戶密碼口令兩種鑒別技術(shù)。2) 訪問控制本項(xiàng)要求包括：a) 應(yīng)提供訪問控制功能，依據(jù)安全策略控制用

15、戶對文件、數(shù)據(jù)庫表等客體的訪問；（1）詢問應(yīng)用系統(tǒng)管理員，系統(tǒng)是否提供訪問控制功能，訪問控制策略是什么？自主訪問控制的粒度如何？測試結(jié)果 ：系統(tǒng)應(yīng)提供訪問控制功能，訪問控制策略。（2）檢查應(yīng)用系統(tǒng)，查看系統(tǒng)是否提供訪問控制機(jī)制。步驟：瀏覽器地址欄鍵入“目標(biāo)主機(jī) ip 地址/phpmyadmin”，用戶名鍵入 root，密碼為空，選擇 數(shù)據(jù)庫 項(xiàng)，檢查用戶對各個(gè)數(shù)據(jù)庫的訪問權(quán)限。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：系統(tǒng)提供了訪問控制機(jī)制。（3）檢查應(yīng)用系統(tǒng)，查看系統(tǒng)是否設(shè)置有安全策略控制用戶對文件、數(shù)據(jù)庫中的數(shù)據(jù)等進(jìn)行訪問。步驟 1：瀏覽器地址欄鍵

16、入“目標(biāo)主機(jī) ip 地址/phpmyadmin”，選擇 數(shù)據(jù)庫 項(xiàng)，點(diǎn)擊查看各個(gè)數(shù)據(jù)庫的訪問權(quán)限。步驟 2：點(diǎn)擊編輯各個(gè)數(shù)據(jù)庫的權(quán)限。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：系統(tǒng)設(shè)置有安全策略控制用戶對文件、數(shù)據(jù)庫中的數(shù)據(jù)等進(jìn)行訪問（4）檢查應(yīng)用系統(tǒng)，查看系統(tǒng)的訪問控制粒度是否達(dá)到主體為用戶級，客體為文件、數(shù)據(jù)庫表級。步驟：以某一用戶身份登入系統(tǒng)，選擇數(shù)據(jù)庫 選項(xiàng)卡，查看訪問控制粒度是否達(dá)到數(shù)據(jù)表級。測試結(jié)果 ：系統(tǒng)的訪問控制粒度達(dá)到主體為用戶級，客體為文件、數(shù)據(jù)庫表級。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（5）以

17、某一用戶身份登錄系統(tǒng)，依據(jù)安全策略對客體進(jìn)行訪問，測試是否成功。該用戶不依據(jù)安全策略對客體進(jìn)行訪問，測試是否成功。步驟 1：以 root 身份登入系統(tǒng)，嘗試對數(shù)據(jù)庫進(jìn)行增加、刪除、查詢、修改用戶權(quán)限等操作，查看 root 用戶權(quán)限。刪除數(shù)據(jù)庫：搜索查詢、導(dǎo)出數(shù)據(jù)庫：查看、更改訪問權(quán)限：精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除步驟 2：以任意非 root 用戶身份登入系統(tǒng)，嘗試對數(shù)據(jù)庫進(jìn)行添加、刪除、查詢等操作，查看其是否具有相應(yīng)權(quán)限。例如，以 anyuser 身份登入系統(tǒng)：無法查看日志信息，無法查看權(quán)限設(shè)置，無新建數(shù)據(jù)庫權(quán)限，可查詢數(shù)據(jù)庫information_

18、schema ，但無刪除數(shù)據(jù)庫權(quán)限：精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除可瀏覽、查詢數(shù)據(jù)庫：精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：以某一用戶身份登錄系統(tǒng)，依據(jù)安全策略對客體進(jìn)行訪問，結(jié)果成功。但如果該用戶不依據(jù)安全策略對客體進(jìn)行訪問，結(jié)果則為失敗。 b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；（1）訪談管理員，詢問系統(tǒng)訪問控制策略是否覆蓋到與信息安全直接相關(guān)的主體、客體及它們之間的操作？測試結(jié)果 ：系統(tǒng)訪問控制策略應(yīng)覆蓋到與信息安全直接相關(guān)的主體、客體及它們之間的操作。（2）查看系統(tǒng)

19、的具體安全策略內(nèi)容是否覆蓋到與信息安全直接相關(guān)的所有主體、客體及它們之間的操作。測試結(jié)果 ：系統(tǒng)的具體安全策略內(nèi)容應(yīng)覆蓋到與信息安全直接相關(guān)的所有主體、客體及它們之間的操作。c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限；（1）檢查應(yīng)用系統(tǒng)，查看系統(tǒng)是否有由授權(quán)主體配置訪問控制策略的功能。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除方法：以 root 身份登陸系統(tǒng)，選擇 數(shù)據(jù)庫選項(xiàng)卡，查看是否能夠配置對各個(gè)數(shù)據(jù)庫的訪問策略。例如，可進(jìn)行以下步驟配置用戶對數(shù)據(jù)庫 test 的訪問策略。步驟 1：檢查“ test”數(shù)據(jù)庫的權(quán)限。步驟 2：點(diǎn)擊如圖按鍵即

20、可針對不同用戶對數(shù)據(jù)庫“ test”的權(quán)限進(jìn)行編輯。測試結(jié)果 ：系統(tǒng)有由授權(quán)主體配置訪問控制策略的功能。（2）如果系統(tǒng)有由授權(quán)主體配置訪問控制策略的功能，則以該授權(quán)主體用戶登錄系統(tǒng)，查看某個(gè)特定用戶的權(quán)限。以該用戶身份登錄系統(tǒng)，進(jìn)行在權(quán)限范圍內(nèi)和權(quán)限范圍外的一些操作，查看是否成功。步驟 1：添加用戶。選擇 權(quán)限-添加新用戶 ，添加一個(gè)名為 add_user123 的新用戶，不為其創(chuàng)建數(shù)據(jù)庫，不對其賦予任何特殊權(quán)限。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除步驟 2：退出當(dāng)前登陸，以新建用戶 add_user123 身份登入系統(tǒng)，嘗試對數(shù)據(jù)庫進(jìn)行添加、刪除、查詢等操

21、作，查看 add_user123 是否具有相應(yīng)權(quán)限。無法查看日志信息，無法查看權(quán)限設(shè)置，無新建數(shù)據(jù)庫權(quán)限精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除可查詢數(shù)據(jù)庫 information_schema和 newtest，但無刪除數(shù)據(jù)庫權(quán)限：可瀏覽查看數(shù)據(jù)庫：測試結(jié)果 ：進(jìn)行在權(quán)限范圍內(nèi)的操作，成功；權(quán)限范圍外的操作，則失敗。（3）以該授權(quán)主體用戶登錄系統(tǒng)，修改上述特定用戶的權(quán)限。以該用戶身份登錄系統(tǒng)，查看該用戶的權(quán)限是否與剛修改過的權(quán)限保持一致，驗(yàn)證用戶權(quán)限管理功能是否有效。方法：以 root 身份登陸系統(tǒng)，修改剛才新建用戶 add_user 的權(quán)限，例如：取消add

22、_user 訪問“ test”數(shù)據(jù)庫的權(quán)限，然后以 add_user123 身份登入系統(tǒng)，查看add_user123 是否有權(quán)訪問“newtest ”數(shù)據(jù)庫。步驟 1：以 add_user123 身份登入系統(tǒng)，查看當(dāng)前可以訪問的數(shù)據(jù)庫。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除步驟 2：以 root 身份登陸系統(tǒng)，取消非 root 用戶對“ newtest ”數(shù)據(jù)庫的所有權(quán)限。步驟 3：再次以 add_user123 身份登入系統(tǒng)，查看當(dāng)前可以訪問的數(shù)據(jù)庫是否包含“ newtest”數(shù)據(jù)庫。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測

23、試結(jié)果 ：權(quán)限管理正確。（4）檢查應(yīng)用系統(tǒng)，查看系統(tǒng)是否有默認(rèn)用戶，如果有，是否限制了默認(rèn)用戶的訪問權(quán)限。步驟：選擇 權(quán)限項(xiàng)，查看系統(tǒng)中存在的用戶（除了 add_user123 為新增用戶，其他用戶沒有進(jìn)行任何更改）。（5）如果有默認(rèn)帳戶，以默認(rèn)帳戶（默認(rèn)密碼）登錄系統(tǒng)，并進(jìn)行合法及非法操作，測試系統(tǒng)是否對默認(rèn)帳戶訪問權(quán)限進(jìn)行了限制。方法：以任一默認(rèn)賬戶身份登陸，檢查此身份是否可以進(jìn)行權(quán)限變更、用戶增刪等操作。測試結(jié)果 ：該系統(tǒng)存在默認(rèn)用戶。且限制了其訪問權(quán)限。 d) 應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，在它們之間形成相互制約的關(guān)系。（1）訪談系統(tǒng)管理員，詢問系統(tǒng)所有帳戶是否只擁有

24、完成自承擔(dān)任務(wù)所需的最小權(quán)限，相互之間是否形成相互制約關(guān)系。測試結(jié)果 ：系統(tǒng)所有帳戶應(yīng)只擁有完成自己承擔(dān)任務(wù)所需的最小權(quán)限。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（2）檢查應(yīng)用系統(tǒng)，查看不同帳戶的權(quán)限是否分離（如管理員不能審計(jì)、審計(jì)員不能管理、安全員不能審計(jì)和管理等、審計(jì)員不能修改自己的行為日志等）。權(quán)限之間是否相互制約。步驟 1：選擇 權(quán)限項(xiàng)，查看系統(tǒng)中的 root 用戶被賦予的權(quán)限。步驟 2: 查看 root 用戶的權(quán)限。測試結(jié)果： root用戶擁有所有權(quán)限，未實(shí)現(xiàn)權(quán)限分離。（3）以管理員身份進(jìn)行審計(jì)操作，查看是否成功。以審計(jì)員身份進(jìn)行刪除/增加用戶、設(shè)定

25、用戶權(quán)限的操作（也可進(jìn)行一些其他管理員進(jìn)行的操作），查看是否成功。步驟：以 root 身份登陸系統(tǒng)，查看權(quán)限，以及二進(jìn)制日志。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果： 管理員身份進(jìn)行審計(jì)操作，成功。說明管理員擁有審計(jì)員的權(quán)限。（4）以擁有其他權(quán)限的用戶身份登錄，查看其權(quán)限是否受到限制。方法：以 add_user123 身份或其他非 root 身份登入系統(tǒng)，查看其是否具有增加用戶、刪除用戶、設(shè)定用戶權(quán)限等權(quán)限。測試結(jié)果 ：用戶權(quán)限受到限制。沒有增加用戶、刪除用戶、設(shè)定用戶權(quán)限等權(quán)限。（視圖中無【權(quán)限】選項(xiàng)）e) 應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；f

26、) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除方法：訪問管理員查看是否有敏感標(biāo)記功能以及是否依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；測試結(jié)果： 無敏感標(biāo)記功能。3) 安全審計(jì)本項(xiàng)要求包括：a) 應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；（1）訪談安全審計(jì)員，詢問是否有安全審計(jì)功能，對事件進(jìn)行審計(jì)的選擇要求和策略是什么。（2）檢查應(yīng)用系統(tǒng)的審計(jì)策略（審計(jì)記錄），查看審計(jì)策略（或記錄）是否覆蓋到每個(gè)用戶。都對哪些安全事件進(jìn)行審計(jì)。（3）多次以任意用戶身份登錄系統(tǒng)，進(jìn)行一

27、些操作，包括重要的安全相關(guān)操作或事件（如用戶標(biāo)識與鑒別、自主訪問控制的所有操作記錄（如用系統(tǒng)管理員身份改變用戶權(quán)限，增加或刪除用戶），用戶的行為（如刪除數(shù)據(jù)、多次登錄失敗等）。（4）用審計(jì)人員的身份登錄系統(tǒng)，查看系統(tǒng)對上述用戶的重要操作或事件是否進(jìn)行審計(jì)。以下步驟以 root 用戶為例，測試 root 用戶變更 add_user 訪問權(quán)限時(shí)，系統(tǒng)日志有無記錄。步驟 1：以 root 身份登入系統(tǒng)，為 add_user 用戶增加對“ test”數(shù)據(jù)庫的 select, insert, update,delete 權(quán)限。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除步驟

28、2：選中 二進(jìn)制日志 選項(xiàng)卡，查看最近更新的日志，圖例中為 mysql-bin.00001. 選中后點(diǎn)擊 執(zhí)行按鈕。步驟 3：查看日志信息。測試結(jié)果 ：應(yīng)有安全審計(jì)功能、對事件進(jìn)行審計(jì)的選擇要求和策略。審計(jì)策略（審計(jì)記錄）應(yīng)覆蓋到每個(gè)用戶。對任意用戶操作的審計(jì)記錄功能應(yīng)有效。b) 應(yīng)保證無法刪除、修改或覆蓋審計(jì)記錄；（1）訪談安全審計(jì)員，詢問應(yīng)用系統(tǒng)對審計(jì)日志的處理方式有哪些。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（2）以普通用戶身份試圖刪除、修改或覆蓋自身的審計(jì)記錄，查看能否成功。試圖刪除、修改其他人的審計(jì)記錄，查看能否成功。（3）如果審計(jì)記錄能夠?qū)?，則導(dǎo)

29、出審計(jì)記錄并進(jìn)行修改后導(dǎo)入系統(tǒng)，查看能否覆蓋以前的審計(jì)記錄。步驟：以非 root 用戶身份登入系統(tǒng)，嘗試查看并刪除、修改或覆蓋自身的審計(jì)記錄。下圖顯示普通用戶無法查看日志記錄（視圖中無日志選項(xiàng)）。測試結(jié)果 ：普通用戶無法刪除、修改或覆蓋自身的審計(jì)記錄；如果審計(jì)記錄能夠?qū)?，則導(dǎo)出審計(jì)記錄并進(jìn)行修改后導(dǎo)入系統(tǒng)，應(yīng)不能覆蓋以前的審計(jì)記錄。b) 應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄；方法：以 root 身份登錄，查看二進(jìn)制日志?？词欠衲軌蛐薷膶徲?jì)記錄。測試結(jié)果 ：無修改審計(jì)記錄的選項(xiàng)。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除c) 審計(jì)記錄的內(nèi)容至少

30、應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等；（1）以審計(jì)員身份登錄系統(tǒng)，檢查審計(jì)記錄內(nèi)容是否包括事件發(fā)生的日期、時(shí)間、發(fā)起者信息、事件類型、事件相關(guān)描述信息、事件的結(jié)果等。步驟：以 root 身份登入系統(tǒng)，選中 二進(jìn)制日志 選項(xiàng)卡，查看日志信息包含的內(nèi)容。測試結(jié)果 ：審計(jì)記錄內(nèi)容包括事件發(fā)生的日期、時(shí)間、發(fā)起者信息、事件類型、事件相關(guān)描述信息、事件的結(jié)果等。d) 應(yīng)提供對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。查看二進(jìn)制日志，看是否有報(bào)表和分析的選項(xiàng)。測試結(jié)果： 沒有對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。4) 通信完整性本項(xiàng)要求包括：a) 應(yīng)采用校驗(yàn)

31、碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。（1）詢問安全管理員應(yīng)用系統(tǒng)是否有數(shù)據(jù)在傳輸過程中進(jìn)行完整性保證的操作，具體采取什么措施。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除（2）應(yīng)檢查設(shè)計(jì)、驗(yàn)收文檔，查看其是否有通信完整性的說明，如果有則查看是否采用校驗(yàn)碼技術(shù)保證通信完整性。測試結(jié)果 ：系統(tǒng)有數(shù)據(jù)在傳輸過程中進(jìn)行完整性保證的措施。5) 通信保密性本項(xiàng)要求包括：a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會話初始化驗(yàn)證；（1）詢問安全管理員系統(tǒng)在通信雙方建立連接之前采用什么技術(shù)進(jìn)行會話初始化驗(yàn)證。（2）應(yīng)檢查設(shè)計(jì)、驗(yàn)收文檔，查看其是否有通信保密性的說明，如果有

32、則查看是否有利用密碼技術(shù)進(jìn)行通信會話初始化驗(yàn)證的說明。測試結(jié)果 ：對初始化驗(yàn)證措施有文檔說明。b) 應(yīng)對通信過程中的敏感信息字段進(jìn)行加密。（1）詢問安全管理員應(yīng)用系統(tǒng)的敏感信息字段在通信過程中是否采取保密措施，具體采取什么措施。（2）應(yīng)檢查設(shè)計(jì)、驗(yàn)收文檔，查看其是否有通信保密性的說明，如果有則查看是否有對通信過程中的敏感信息字段進(jìn)行加密的說明。測試結(jié)果 ：系統(tǒng)的敏感信息字段在通信過程中應(yīng)采取保密措施；對保密措施應(yīng)有文檔說明。6) 軟件容錯(cuò)本項(xiàng)要求包括：a) 應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的；精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪

33、除（1）訪談管理員，詢問是否有保證軟件具有容錯(cuò)能力的措施，具體采取哪些措施。（2）在應(yīng)用終端輸入不同（如數(shù)據(jù)格式或長度等符合、不符合軟件設(shè)定的要求）的數(shù)據(jù)，包括登錄標(biāo)識與鑒別數(shù)據(jù)、其他操作數(shù)據(jù)等，查看系統(tǒng)的反應(yīng)。以下步驟以增加用戶為例。步驟：在瀏覽器地址欄輸入 http:/目標(biāo)主機(jī) ip 地址/dede/login.php，依次展開系統(tǒng) - 系統(tǒng)用戶管理 - 增加管理員 ，在用戶密碼 設(shè)置處輸入“ -9、a-z、a-z、.、_、-、!”以外的字符，測試系統(tǒng)是否能增加此用戶。測試結(jié)果 ：有保證軟件具有容錯(cuò)能力的措施；有數(shù)據(jù)格式、長度等格式控制。b) 在故障發(fā)生時(shí)，應(yīng)用系統(tǒng)應(yīng)能夠繼續(xù)提供一部分保護(hù)

34、功能，確保能夠?qū)嵤┍匾拇胧?。?）詢問管理員應(yīng)用系統(tǒng)是否發(fā)生過故障，故障發(fā)生時(shí)是否能夠繼續(xù)提供一部分功能保證實(shí)施必要的措施。測試結(jié)果 ：系統(tǒng)故障發(fā)生時(shí)有能夠繼續(xù)提供一部分功能保證實(shí)施必要的措施。7) 資源控制精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除本項(xiàng)要求包括： a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；（1）訪談應(yīng)用系統(tǒng)管理員，詢問業(yè)務(wù)系統(tǒng)是否有資源控制的措施，具體措施有哪些。（2）登錄應(yīng)用系統(tǒng)服務(wù)器，查看應(yīng)用系統(tǒng)屬性是否設(shè)置了連接超時(shí)限制。方法：以某一用戶身份登陸 phpmyadmin ，長時(shí)間不作任何操作，查看

35、系統(tǒng)反應(yīng)。測試結(jié)果 ：有資源控制的措施；應(yīng)用系統(tǒng)服務(wù)器有連接超時(shí)限制。b) 應(yīng)能夠?qū)?yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制；（1）詢問管理員應(yīng)用系統(tǒng)同時(shí)最多支持多少個(gè)并發(fā)會話連接？是否有限制？（2）登錄應(yīng)用系統(tǒng)服務(wù)器，查看系統(tǒng)是否設(shè)置了參數(shù)限制最大并發(fā)會話連接數(shù)。步驟 1：瀏覽器地址欄鍵入 目標(biāo)主機(jī) ip 地址/phpmyadmin，選擇權(quán)限項(xiàng)，查看各個(gè)用戶被賦予的權(quán)限。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除步驟 2：查看每小時(shí)服務(wù)器最大連接數(shù) max_connections 。測試結(jié)果 ：系統(tǒng)沒有設(shè)置參數(shù)限制最大并發(fā)會話連接數(shù)。c) 應(yīng)能夠?qū)蝹€(gè)帳戶的多重并發(fā)會話進(jìn)行限制。（1）詢問管理員單個(gè)帳戶同時(shí)可以發(fā)起多少個(gè)并發(fā)會話，是否有限制？（2）登錄應(yīng)用系統(tǒng)服務(wù)器，查看系統(tǒng)是否對單個(gè)帳戶的多重并發(fā)會話進(jìn)行限制。（3）以超過單個(gè)帳戶規(guī)定的并發(fā)會話連接數(shù)連接系統(tǒng)，測試能否成功。步驟：查看每個(gè)數(shù)據(jù)庫用戶的最大連接數(shù) max user_connections 。精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除精品好資料 -如有侵權(quán)請聯(lián)系網(wǎng)站刪除測試結(jié)果 ：對單個(gè)帳戶同時(shí)可以發(fā)起的并發(fā)會話應(yīng)有限制；對單個(gè)帳戶的多重并發(fā)會話沒有進(jìn)行限制。d) 應(yīng)能夠?qū)σ粋€(gè)