信息安全技術(shù)資料滲透

信息安全技術(shù)交流滲透測(cè)試深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司

一、關(guān)于滲透測(cè)試

二、滲透測(cè)試常見WEB漏洞

三、部分滲透測(cè)試工具介紹

四、安全漏洞風(fēng)險(xiǎn)等級(jí)定義五、常見攻擊及防御主講內(nèi)容深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司安全檢測(cè)主要有以下幾種方式：滲透測(cè)試、審計(jì)和評(píng)估?，F(xiàn)實(shí)中，單一的檢測(cè)方式可能無法達(dá)到預(yù)期的效果。在檢測(cè)系統(tǒng)安全的時(shí)候，通常根據(jù)不同的階段和環(huán)境選擇合適的測(cè)試方式。滲透測(cè)試為最直接的檢測(cè)方式，可以為安全防御提供最有價(jià)值的信息。滲透測(cè)試的結(jié)果不僅是要評(píng)估目標(biāo)系統(tǒng)或者網(wǎng)絡(luò)的安全性，還要決定成功攻擊的可行性和風(fēng)險(xiǎn)等級(jí)。什么是滲透測(cè)試深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司滲透測(cè)試（PenetrationTest）是指安全滲透測(cè)試者盡可能完整地模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，對(duì)目標(biāo)網(wǎng)絡(luò)/主機(jī)/數(shù)據(jù)庫(kù)/應(yīng)用的安全性作深入的探測(cè)，發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)的過程。目前，安全業(yè)界比較流行的開源滲透測(cè)試方法體系標(biāo)準(zhǔn)包括以下幾個(gè)。安全測(cè)試方法學(xué)開源手冊(cè)（OSSTMM）NISTSP800-42網(wǎng)絡(luò)安全測(cè)試指南（NIST）OWASP十大Web應(yīng)用安全威脅項(xiàng)目（OWASPTop10）Web安全威脅分類標(biāo)準(zhǔn)（WASC-TC）PTES滲透測(cè)試執(zhí)行標(biāo)準(zhǔn)（PTES）滲透測(cè)試標(biāo)準(zhǔn)流程深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司針對(duì)目前最普遍的Web應(yīng)用層，為安全測(cè)試人員和開發(fā)者提供了如何識(shí)別與避免這些安全威脅的指南。OWASP十大Web應(yīng)用安全威脅項(xiàng)目（OWASPTopTen）只關(guān)注具有最高風(fēng)險(xiǎn)的Web領(lǐng)域，而不是一個(gè)普適性的滲透測(cè)試方法指南。信息收集配置管理測(cè)試認(rèn)證測(cè)試會(huì)話管理測(cè)試授權(quán)測(cè)試數(shù)據(jù)驗(yàn)證測(cè)試拒絕服務(wù)測(cè)試WEB服務(wù)測(cè)試AJAX測(cè)試OWASPTop10深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司PTES滲透測(cè)試執(zhí)行標(biāo)準(zhǔn)是由安全業(yè)界多家領(lǐng)軍企業(yè)技術(shù)專家所共同發(fā)起的，期望為企業(yè)組織與安全服務(wù)提供商設(shè)計(jì)并制定用來實(shí)施滲透測(cè)試的通用描述準(zhǔn)則。PTES標(biāo)準(zhǔn)中定義的滲透測(cè)試過程環(huán)節(jié)基本上反映了安全業(yè)界的普遍認(rèn)同，具體包括以下7個(gè)階段：前期交互階段情報(bào)搜集階段威脅建模階段漏洞分析階段滲透攻擊階段后滲透攻擊階段報(bào)告階段滲透測(cè)試過程環(huán)節(jié)深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司實(shí)際上滲透測(cè)試并沒有嚴(yán)格的分類方式，即使在軟件開發(fā)生命周期中，也包含了滲透測(cè)試的環(huán)節(jié)，但根據(jù)實(shí)際應(yīng)用，普遍認(rèn)同的幾種分類方法如下：根據(jù)滲透方法分類黑箱測(cè)試白盒測(cè)試隱秘測(cè)試根據(jù)滲透目標(biāo)分類主機(jī)操作系統(tǒng)滲透數(shù)據(jù)庫(kù)系統(tǒng)滲透應(yīng)用系統(tǒng)滲透網(wǎng)絡(luò)設(shè)備滲透滲透測(cè)試的分類深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司實(shí)際上滲透測(cè)試并沒有嚴(yán)格的分類方式，即使在軟件開發(fā)生命周期中，也包含了滲透測(cè)試的環(huán)節(jié)，但根據(jù)實(shí)際應(yīng)用，普遍認(rèn)同的幾種分類方法如下：根據(jù)滲透方法分類黑箱測(cè)試白盒測(cè)試隱秘測(cè)試黑箱測(cè)試又被稱為所謂的“Zero-KnowledgeTesting”，滲透者完全處于對(duì)系統(tǒng)一無所知的狀態(tài)，通常這類型測(cè)試，最初的信息獲取來自于DNS、Web、Email及各種公開對(duì)外的服務(wù)器。滲透測(cè)試的分類深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司實(shí)際上滲透測(cè)試并沒有嚴(yán)格的分類方式，即使在軟件開發(fā)生命周期中，也包含了滲透測(cè)試的環(huán)節(jié)，但根據(jù)實(shí)際應(yīng)用，普遍認(rèn)同的幾種分類方法如下：根據(jù)滲透方法分類黑箱測(cè)試白盒測(cè)試隱秘測(cè)試白盒測(cè)試與黑箱測(cè)試恰恰相反，測(cè)試者可以通過正常渠道向被測(cè)單位取得各種資料，包括網(wǎng)絡(luò)拓?fù)?、員工資料甚至網(wǎng)站或其它程序的代碼片斷，也能夠與單位的其它員工（銷售、程序員、管理者……）進(jìn)行面對(duì)面的溝通。這類測(cè)試的目的是模擬企業(yè)內(nèi)部雇員的越權(quán)操作。滲透測(cè)試的分類深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司實(shí)際上滲透測(cè)試并沒有嚴(yán)格的分類方式，即使在軟件開發(fā)生命周期中，也包含了滲透測(cè)試的環(huán)節(jié)，但根據(jù)實(shí)際應(yīng)用，普遍認(rèn)同的幾種分類方法如下：根據(jù)滲透方法分類黑箱測(cè)試白盒測(cè)試隱秘測(cè)試隱秘測(cè)試是對(duì)被測(cè)單位而言的，通常情況下，接受滲透測(cè)試的單位網(wǎng)絡(luò)管理部門會(huì)收到通知：在某些時(shí)段進(jìn)行測(cè)試。因此能夠監(jiān)測(cè)網(wǎng)絡(luò)中出現(xiàn)的變化。但隱秘測(cè)試則被測(cè)單位也僅有極少數(shù)人知曉測(cè)試的存在，因此能夠有效地檢驗(yàn)單位中的信息安全事件監(jiān)控、響應(yīng)、恢復(fù)做得是否到位。滲透測(cè)試的分類深圳市網(wǎng)安計(jì)實(shí)際上滲透測(cè)測(cè)試并沒有嚴(yán)嚴(yán)格的分類方方式，即使在在軟件開發(fā)生生命周期中，，也包含了滲滲透測(cè)試的環(huán)環(huán)節(jié)，但根據(jù)據(jù)實(shí)際應(yīng)用，，普遍認(rèn)同的的幾種分類方方法如下：根據(jù)滲透目標(biāo)分類主機(jī)操作系統(tǒng)滲透數(shù)據(jù)庫(kù)系統(tǒng)滲透應(yīng)用系統(tǒng)滲透網(wǎng)絡(luò)設(shè)備滲透對(duì)Windows、Solaris、AIX、Linux、SCO、SGI等操作系統(tǒng)本本身進(jìn)行滲透透測(cè)試。滲透測(cè)試的分分類深圳市網(wǎng)安計(jì)計(jì)算機(jī)安全檢檢測(cè)技術(shù)有限限公司實(shí)際上滲透測(cè)測(cè)試并沒有嚴(yán)嚴(yán)格的分類方方式，即使在在軟件開發(fā)生生命周期中，，也包含了滲滲透測(cè)試的環(huán)環(huán)節(jié)，但根據(jù)據(jù)實(shí)際應(yīng)用，，普遍認(rèn)同的的幾種分類方方法如下：根據(jù)滲透目標(biāo)分類主機(jī)操作系統(tǒng)滲透數(shù)據(jù)庫(kù)系統(tǒng)滲透應(yīng)用系統(tǒng)滲透網(wǎng)絡(luò)設(shè)備滲透對(duì)MS-SQL、Oracle、MySQL、Informix、Sybase、DB2、Access等數(shù)數(shù)據(jù)據(jù)庫(kù)庫(kù)應(yīng)應(yīng)用用系系統(tǒng)統(tǒng)進(jìn)進(jìn)行行滲滲透透測(cè)測(cè)試試。。滲透透測(cè)測(cè)試試的的分分類類深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司實(shí)際際上上滲滲透透測(cè)測(cè)試試并并沒沒有有嚴(yán)嚴(yán)格格的的分分類類方方式式，，即即使使在在軟軟件件開開發(fā)發(fā)生生命命周周期期中中，，也也包包含含了了滲滲透透測(cè)測(cè)試試的的環(huán)環(huán)節(jié)節(jié)，，但但根根據(jù)據(jù)實(shí)實(shí)際際應(yīng)應(yīng)用用，，普普遍遍認(rèn)認(rèn)同同的的幾幾種種分分類類方方法法如如下下：：根據(jù)滲透目標(biāo)分類主機(jī)操作系統(tǒng)滲透數(shù)據(jù)庫(kù)系統(tǒng)滲透應(yīng)用系統(tǒng)滲透網(wǎng)絡(luò)設(shè)備滲透滲透透測(cè)測(cè)試試的的分分類類深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司實(shí)際際上上滲滲透透測(cè)測(cè)試試并并沒沒有有嚴(yán)嚴(yán)格格的的分分類類方方式式，，即即使使在在軟軟件件開開發(fā)發(fā)生生命命周周期期中中，，也也包包含含了了滲滲透透測(cè)測(cè)試試的的環(huán)環(huán)節(jié)節(jié)，，但但根根據(jù)據(jù)實(shí)實(shí)際際應(yīng)應(yīng)用用，，普普遍遍認(rèn)認(rèn)同同的的幾根據(jù)滲透目標(biāo)分類主機(jī)操作系統(tǒng)滲透數(shù)據(jù)庫(kù)系統(tǒng)滲透應(yīng)用系統(tǒng)滲透網(wǎng)絡(luò)設(shè)備滲透對(duì)各各種種防防火火墻墻、、入入侵侵檢檢測(cè)測(cè)系系統(tǒng)統(tǒng)、、網(wǎng)網(wǎng)絡(luò)絡(luò)設(shè)設(shè)備備進(jìn)進(jìn)行行滲滲透透測(cè)測(cè)試試。。滲透透測(cè)測(cè)試試的的分分類類深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司中間人欺騙攻擊WEB攻擊內(nèi)網(wǎng)嗅探C段攻擊服務(wù)器提權(quán)控制服務(wù)器滲透透測(cè)測(cè)試試環(huán)環(huán)節(jié)節(jié)漏漏洞洞利利用用深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司遠(yuǎn)程溢出RDPMS12-020VBScriptMS14-011本地提權(quán)ASP.NETMS13-103.NETFrameworkMS14-009口令猜解弱口令默認(rèn)密碼系統(tǒng)統(tǒng)層層滲滲透透相相關(guān)關(guān)漏漏洞洞部分分滲滲透透測(cè)測(cè)試試工工具具介介紹紹信息息收收集集WebVulnerabilityScannerNessusNmap數(shù)據(jù)據(jù)分分析析Burpsuitefirebug漏洞洞利利用用SqlMapMetasploithackbar深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司W(wǎng)ebVulnerabilityScanner深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司Nessus深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司Nmap深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司Burpsuite深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司firebug深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司SqlMap深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司Metasploit深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司Hackbar深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司網(wǎng)安網(wǎng)_網(wǎng)絡(luò)安全服務(wù)_計(jì)算機(jī)司法鑒定_網(wǎng)絡(luò)安全評(píng)估_深圳等級(jí)保護(hù)SQL注入漏洞XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏目前常見見WEB漏洞XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司目前常見見WEB漏洞攻擊者可可通過SQL注入對(duì)數(shù)數(shù)據(jù)庫(kù)進(jìn)進(jìn)行查詢?cè)儭⒋鄹母牡瘸Ｒ?guī)規(guī)操作，，執(zhí)行權(quán)權(quán)限允許許的情況況下，可可以清空空整個(gè)數(shù)數(shù)據(jù)庫(kù)。。同時(shí)，，攻擊者者也可通通過SQL注入漏洞洞調(diào)用存存儲(chǔ)過程程，執(zhí)行行系統(tǒng)命命令、利利用備份份寫入后后門&木馬等操操作。漏洞描述述風(fēng)險(xiǎn)分析析繞過登陸陸驗(yàn)證獲取數(shù)據(jù)據(jù)庫(kù)數(shù)據(jù)據(jù)篡改數(shù)據(jù)據(jù)庫(kù)執(zhí)行危險(xiǎn)險(xiǎn)存儲(chǔ)過過程XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司目前常見見WEB漏洞攻擊者可可利用該該漏洞，，提交構(gòu)構(gòu)造的跨跨站代碼碼，在用用戶非自自愿的情情況下執(zhí)執(zhí)行惡意意腳本，，導(dǎo)致會(huì)會(huì)話、Cookie等信息被被竊取，，通過竊竊取到的的認(rèn)證信信息，偽偽造身份份進(jìn)行攻攻擊。漏洞描述述風(fēng)險(xiǎn)分析析執(zhí)行惡意意代碼竊取用戶戶會(huì)話信信息獲得管理理權(quán)限偽造身份份進(jìn)行攻攻擊XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞目前常見見WEB漏洞由于WEB應(yīng)用存在在的某些些缺陷，，攻擊者者可以無無視上傳傳規(guī)則，，上傳非非法文件件，導(dǎo)致致上傳WebShell木馬、后后門程序序，或者者提權(quán)、、破壞服服務(wù)器內(nèi)內(nèi)容。漏洞描述述風(fēng)險(xiǎn)分析析直接獲取取WebShell上傳木馬馬&后門或者者病毒程程序通過提權(quán)權(quán)得到服服務(wù)器控控制權(quán)XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算目前常見見WEB漏洞通過簡(jiǎn)單單密碼組組合猜解解，一旦旦高權(quán)限限帳戶密密碼強(qiáng)度度不夠，，就容易易被獲取取，或者者暴力破破解，從從而得到到網(wǎng)站管管理權(quán)限限，某些些可能存存在缺陷陷的后臺(tái)臺(tái)功能，，由于其其他高危危漏洞，，導(dǎo)致攻攻擊者最最終獲得得整個(gè)服服務(wù)器的的最高權(quán)權(quán)限。漏洞描述述風(fēng)險(xiǎn)分析析用戶密碼碼被猜解解管理權(quán)限限泄漏后臺(tái)可能能存在其其他高風(fēng)風(fēng)險(xiǎn)漏洞洞XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司目前常見見WEB漏洞由于WEB應(yīng)用邏輯輯缺陷，，頁(yè)面存存在驗(yàn)證證不足的的情況下下，低權(quán)權(quán)限帳號(hào)號(hào)可能越越權(quán)訪問問應(yīng)用功功能，或或者繞過過登陸驗(yàn)驗(yàn)證直接接進(jìn)入后后臺(tái)。漏洞描述述風(fēng)險(xiǎn)分析析繞過登陸陸驗(yàn)證越權(quán)訪問問應(yīng)用功功能篡改后臺(tái)臺(tái)設(shè)置利用其他他后臺(tái)漏漏洞進(jìn)一一步攻擊擊XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司目前常見見WEB漏洞WEB服務(wù)器程程序通過過不斷的的更新和和升級(jí)，，來修復(fù)復(fù)程序中中存在的的各種漏漏洞。低低版本可可能存在在高版本本中已知知的高危危漏洞，，如果沒沒有及時(shí)時(shí)升級(jí)更更新或者者使用的的WEB服務(wù)器程程序版本本過低，，就有可可能存在在沒有被被修復(fù)的的漏洞。。漏洞描述述風(fēng)險(xiǎn)分析析拒絕服務(wù)務(wù)攻擊溢出攻擊擊任意命令令執(zhí)行敏感信息息泄漏XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司目前常見見WEB漏洞應(yīng)用程序序錯(cuò)誤信信息，在在WEB應(yīng)用開發(fā)發(fā)期間，，可以幫幫助開發(fā)發(fā)人員快快速找到到Bug，修復(fù)和和完善應(yīng)應(yīng)用程序序。在部部署運(yùn)行行時(shí)，可可能存在在容錯(cuò)機(jī)機(jī)制不完完善，沒沒有嚴(yán)格格處理5xx錯(cuò)誤等信信息，導(dǎo)導(dǎo)致應(yīng)用用程序錯(cuò)錯(cuò)誤信息息直接暴暴露在瀏瀏覽者面面前。漏洞描述述風(fēng)險(xiǎn)分析析應(yīng)用程序序代碼細(xì)細(xì)節(jié)泄漏漏(SQL字段，代代碼邏輯輯)WEB應(yīng)用錯(cuò)誤誤暴露絕絕對(duì)路徑徑泄漏服務(wù)務(wù)器環(huán)境境信息XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳市網(wǎng)網(wǎng)安計(jì)算算機(jī)安全全檢測(cè)技技術(shù)有限限公司目前常見見WEB漏洞在測(cè)試服服務(wù)器環(huán)環(huán)境和配配置的時(shí)時(shí)候，可可能會(huì)遺遺留一些些測(cè)試文文件。在在后期維維護(hù)中，，操作者者一時(shí)疏疏忽大意意，往往往隨意重重命名來來保存?zhèn)鋫浞菸募?。這些些文件可可能會(huì)被被掃描或或猜解到到。漏洞洞描描述述風(fēng)險(xiǎn)險(xiǎn)分分析析測(cè)試試文文件件會(huì)會(huì)泄泄漏漏服服務(wù)務(wù)器器環(huán)環(huán)境境信信息息備份份文文件件可可能能存存在在源源代代碼碼細(xì)細(xì)節(jié)節(jié)設(shè)置置或或者者配配置置文文件件泄泄漏漏XSS跨站腳本漏洞文件上傳漏洞登陸權(quán)限繞過管理帳戶弱口令WEB服務(wù)中間件漏洞應(yīng)用程序錯(cuò)誤存在測(cè)試&備份文件敏感信息泄漏SQL注入漏洞深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司目前前常常見見WEB漏洞洞WEB應(yīng)用用在在開開發(fā)發(fā)或或者者維維護(hù)護(hù)中中，，可可能能會(huì)會(huì)存存在在注注釋釋，，說說明明等等信信息息。。比比如如版版本本更更新新之之后后的的說說明明文文件件，，或或者者源源文文件件中中的的注注釋釋說說明明，，以以及及暫暫時(shí)時(shí)注注釋釋掉掉的的代代碼碼片片段段，，聯(lián)聯(lián)系系方方式式和和姓姓名名等等信信息息。。攻攻擊擊者者可可能能會(huì)會(huì)收收集集這這些些信信息息，，進(jìn)進(jìn)行行社社會(huì)會(huì)工工程程學(xué)學(xué)攻攻擊擊。。漏洞洞描描述述風(fēng)險(xiǎn)險(xiǎn)分分析析更新新說說明明文文件件可可能能存存在在配配置置信信息息注釋釋掉掉的的代代碼碼沒沒有有被被執(zhí)執(zhí)行行存在在代代碼碼處處理理邏邏輯輯或或者者文文件件路路徑徑信信息息姓名名聯(lián)聯(lián)系系方方式式等等信信息息可可能能會(huì)會(huì)被被社社工工利利用用深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司安全全漏漏洞洞等等級(jí)級(jí)標(biāo)標(biāo)準(zhǔn)準(zhǔn)標(biāo)準(zhǔn)號(hào)GB/Z20986-2007中文名稱信息安全技術(shù)信息安全事件分類分級(jí)指南英文名稱Informationsecuritytechnology-GuidelinesforthecategoryandclassificationofInformationsecurityincidents發(fā)布日期2007-07-30實(shí)施日期2007-11-01發(fā)布單位中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局、中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)中國(guó)標(biāo)準(zhǔn)分類L80安全全漏漏洞洞等等級(jí)級(jí)標(biāo)標(biāo)準(zhǔn)準(zhǔn)深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司安全全漏漏洞洞等等級(jí)級(jí)標(biāo)標(biāo)準(zhǔn)準(zhǔn)標(biāo)準(zhǔn)號(hào)GB/T30279-2013中文名稱信息安全技術(shù)安全漏洞等級(jí)劃分指南英文名稱Informationsecuritytechnology—Vulnerabilityclassificationguide發(fā)布日期2013-12-31實(shí)施日期2014-07-15起草單位中國(guó)信息安全測(cè)評(píng)中心、中國(guó)科學(xué)院研究生院國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)入侵防范中心、北京航空航天大學(xué)歸口單位全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)中國(guó)標(biāo)準(zhǔn)分類L80安全全漏漏洞洞等等級(jí)級(jí)標(biāo)標(biāo)準(zhǔn)準(zhǔn)深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司安全全漏漏洞洞等等級(jí)級(jí)定定義義標(biāo)標(biāo)準(zhǔn)準(zhǔn)安全全漏漏洞洞等等級(jí)級(jí)劃劃分分要要素素包包括括訪訪問問路路徑徑、、利利用用復(fù)復(fù)雜雜度度和和影影響響程程度度三三方方面面。訪問問路路徑徑訪問問路路徑徑的的賦賦值值包包括括：：本本地地、、鄰鄰接接和和遠(yuǎn)遠(yuǎn)程程，，通通常常可可被被遠(yuǎn)遠(yuǎn)程程利利用用的的安安全全漏漏洞洞危危害害程程度度高高于于可可被被鄰鄰接接利利用用的的安安全全漏漏洞洞，，可可本本地地利利用用的的安安全全漏漏洞洞最最低低。。利用用復(fù)復(fù)雜雜度度利用用復(fù)復(fù)雜雜度度的的賦賦值值包包括括：：簡(jiǎn)簡(jiǎn)單單和和復(fù)復(fù)雜雜，，通通常常利利用用復(fù)復(fù)雜雜度度為為簡(jiǎn)簡(jiǎn)單單的的安安全全漏漏洞洞危危害害程程度度高高。。影響響程程度度影響響程程度度的的賦賦值值包包括括：：完完全全、、部部分分、、輕輕微微和和無無，，通通常常影影響響程程度度為為完完全全的的安安全全漏漏洞洞危危害害程程度度高高于于影影響響程程度度為為部部分分的的安安全全漏漏洞洞，，影影響響程程度度為為輕輕微微的的安安全全漏漏洞洞次次之之，，影影響響程程度度為為無無的的安安全全漏漏洞洞可可被被忽忽略略。。安全全漏漏洞洞等等級(jí)級(jí)定定義義深圳圳市市網(wǎng)網(wǎng)安安計(jì)計(jì)算算機(jī)機(jī)安安全全檢檢測(cè)測(cè)技技術(shù)術(shù)有有限限公公司司安全全漏漏洞洞等等級(jí)級(jí)劃劃分分安全全漏漏洞洞的的危危害害程程度度從從低低至至高高依依次次為為：：低低危危、、中中危危、、高高危危和和超超危危。安全漏漏洞等等級(jí)劃劃分步步驟包包括:確定訪訪問路路徑的的賦值值；確定利利用復(fù)復(fù)雜度度的賦賦值；；分別確確定保保密性性、完完整性性和可可用性性的影影響賦賦值；；確定影影響的的步驟驟包括括：確定保保密性性的賦賦值；；確定完完整性性的賦賦值；；確定可可用性性的賦賦值；；確定影影響程程度賦賦值；；根據(jù)訪訪問路路徑、、利用用復(fù)雜雜度和和影響響程度度的賦賦值，，確定定安全全漏洞洞等級(jí)級(jí)。安全漏漏洞等等級(jí)定定義深圳市市網(wǎng)安安計(jì)算算機(jī)安安全檢檢測(cè)技技術(shù)有有限公公司DDos攻擊安全漏漏洞等等級(jí)定定義首先從從一個(gè)個(gè)比方方來深深入理理解什什么是是DDOS。一群惡惡霸試試圖讓讓對(duì)面面那家家有著著競(jìng)爭(zhēng)爭(zhēng)關(guān)系系的商商鋪無無法正正常營(yíng)營(yíng)業(yè)，，他們們會(huì)采采取什什么手手段呢呢？（只為舉舉例，，切勿勿模仿仿）惡霸霸們扮扮作普普通客客戶一一直擁?yè)頂D在在對(duì)手手的商商鋪，，賴著著不走走，真真正的的購(gòu)物物者卻卻無法法進(jìn)入入；或或者總總是和和營(yíng)業(yè)業(yè)員有有一搭搭沒一一搭的的東扯扯西扯扯，讓讓工作作人員員不能能正常常服務(wù)務(wù)客戶戶；也也可以以為商商鋪的的經(jīng)營(yíng)營(yíng)者提提供虛虛假信信息，，商鋪鋪的上上上下下下忙忙成一一團(tuán)之之后卻卻發(fā)現(xiàn)現(xiàn)都是是一場(chǎng)場(chǎng)空，，最終終跑了了真正正的大大客戶戶，損損失慘慘重。。此外外惡霸霸們完完成這這些壞壞事有有時(shí)憑憑單干干難以以完成成，需需要叫叫上很很多人人一起起。網(wǎng)絡(luò)安安全領(lǐng)領(lǐng)域中中DoS和DDoS攻擊就就遵循循著這這些思思路。。深圳市市網(wǎng)安安計(jì)算算機(jī)安安全檢檢測(cè)技技術(shù)有有限公公司DDos攻擊DDos攻擊現(xiàn)現(xiàn)象：：被攻擊擊主機(jī)機(jī)上有有大量量等待待的TCP連接；；網(wǎng)絡(luò)中中充斥斥著大大量的的無用用的數(shù)數(shù)據(jù)包包；源地址址為假假造高高流量量無用用數(shù)據(jù)據(jù)，造造成網(wǎng)網(wǎng)絡(luò)擁?yè)砣?，使受受害主主機(jī)無無法正正常和和外界界通訊訊；利用受受害主主機(jī)提提供的的傳輸輸協(xié)議議上的的缺陷陷反復(fù)復(fù)高速速的發(fā)發(fā)出特特定的的服務(wù)務(wù)請(qǐng)求求，使使主機(jī)機(jī)無法法處理理所有有正常常請(qǐng)求求；嚴(yán)重時(shí)時(shí)會(huì)造造成系系統(tǒng)死死機(jī)；；深圳市市網(wǎng)安安計(jì)算算機(jī)安安全