中电科旗下高技能IT教育培训机构

成都web前端培训,网络安全培训-成都国信安IT教育培训机构成都web前端培训,网络安全培训-成都国信安IT教育培训机构

tel

400-9988-316

常见问题常见问题

Web应用安全性测试的关键步骤

发布时间:2021-11-18浏览量:586次

Web应用安全性测试是发现Web应用程序的各种漏洞,识别出潜在的威胁,接下来成都前端培训机构的工作人员为大家详细讲解下Web应用安全性测试的关键步骤。

预备动作

确定被测组织的业务范围、目标、以及安全态势是至关重要的。测试人员需要在此阶段识别出,目标组织正在使用的虚拟资产和实物资产。据此,测试人员需要判断出将要对目标系统采取:黑盒测试、白盒测试、还是灰盒测试。

情报收集

此步骤对于分析Web应用的设置是至关重要的。

我们通常分为被动和主动两个收集阶段。其中:

在被动阶段,测试人员主要收集那些可以在互联网上被轻松获得的信息,而无需直接与应用进行交互。例如,使用Google语法('site:*.domain.com'),来识别应用的子域,或使用WaybackMachine(译者注:自1996年以来,该站点持续给整个互联网做备份,累计完成了1500亿个网页),来检查网站的存档版本。

在主动阶段,测试人员对目标系统进行探测,以提取可供进一步分析的实用信息。例如,对Web应用进行“指纹识别”,以发现所用到的技术版本,进而执行DNS查找,时区转换,触发错误页面,以及检查源代码等操作。

漏洞扫描与分析

在了解了系统内部的关键控制点之后,测试人员可以开始仔细检查那些可用来攻击的向量,以确定组织的重要信息是否存在着潜在风险。在这个阶段,他们通常会使用Zed Attack Proxy(ZAP)、Burp Suite Pro、以及Acunetix等工具,对目标应用的漏洞进行扫描,以识别安全漏洞,并了解应用是如何响应各种入侵尝试的。

利用阶段

有了前面收集到的各种详尽数据,以及对在扫描阶段发现漏洞的深入分析,测试人员选用各种可利用的技术和方法,实施渗透“攻击”。例如:使用SQL注入可以获得对于数据库的未授权访问权限;使用蛮力工具可以直接跳过授权机制;将恶意脚本上传至应用服务器,进而获取命令行Shell的访问权限等。

整理威胁并制定补救措施

根据渗透的效果,测试人员总结并评估已开展的测试,对已发现的威胁和风险进行严重性排序,形成有针对性的补救建议,并最终生成完整的深度报告。而在组织的IT团队修复了错误,并消除了漏洞之后,测试人员立即开展新的一轮渗透测试。


联系我们

公众号二维码

安仔二维码