X公司渗透测试专项方案.doc

资源描述

XXX渗透测试方案 ■ 文档编号 ■ 密级 ■ 版本编号 ■ 日期！ ■ 版本变更统计时间版本说明修改人 ■ 适用性申明本文档是（以下简称“某某”）为XXX（以下简称“XXX”）提交渗透测试方案，供XXX项目相关人员阅读。目录一. 概述 1 1.1 项目背景 1 1.2 实施目标 1 1.3 服务目标 2 二. 远程渗透测试介绍 3 2.1 渗透测试原理 3 2.2 渗透测试步骤 3 2.3 渗透测试风险规避 6 2.4 渗透测试收益 7 2.5 渗透工具介绍 7 2.5.1 系统自带工具 8 2.5.2 自由软件和渗透测试工具 8 三. 项目实施计划 10 3.1 方案制订 10 3.2 信息搜集 11 3.3 测试实施 11 3.4 汇报输出 15 3.5 安全复查 15 四. 交付结果 16 五. 某某渗透测试优势 16 附录A 某某企业介绍 19 一. 概述 1.1 项目背景 XXX成立于1992年，注册资金7亿元，含有中国房地产开发企业一级资质，总资产300多亿元，是一个涵盖房地产开发、商业管理、物业管理、商贸代理、综合投资业务大型集团企业。多年来，XXX信息系统发展和信息化建设密不可分，而且经过领导重视、业务需求、本身努力已经将信息化程度提升到一定水平。但多年来针对XXX信息系统安全事件时有发生，网络面临安全威胁日益严重。伴随业务需求不停地增加、网络结构日趋复杂，信息系统面临安全威胁、威胁主体及其动机和能力、威胁客体等方面全部变得愈加复杂和难于控制。 XXX信息系统建设是由业务系统驱动建设而成，初始网络建设大多没有统一安全计划，而业务系统业务特征、安全需求和等级、使用对象、面正确威胁和风险各不相同。在支持业务不停发展前提下，怎样确保系统安全性是一个巨大挑战，对系统进行区域划分，进行层次化、相关键保护是确保系统和信息安全有效手段，信息安全体系化建设和开展迫在眉睫。 1.2 实施目标信息安全越来越成为保障企业网络稳定运行关键元素。XXX信息系统经过多年实践和探索，已经初具规模，在技术上、产品方面取得了很大成就，但伴随企业面临安全威胁不停改变，单纯地靠产品来处理各类信息安全问题已经不能满足XXX实际安全需求。从根本上处理现在企业所面临信息安全难题，只靠技术和产品是不够，服务将直接影响四处理各类安全问题效果。对于已经实施了安全防护方法（安全产品、安全服务）或立即实施安全防护方法XXX而言，明确网络目前安全现实状况对下一步安全建设含有重大指导意义。所以此次项目标目标是经过远程渗透测试全方面检测XXX信息系统现在存在安全隐患，为下一步信息安全建设提供依据。我们相信，凭借某某多年安全技术积累和丰富安全服务项目经验，能够圆满完成此次安全服务项目。同时，我们也期望能继续保持和XXX在信息安全项目上长久合作，共同为XXX信息系统安全建设贡献力量。 1.3 服务目标某某在此次XXX信息安全服务项目中将达成以下目标： n 经过远程渗透测试全方面检测XXX信息系统直接暴露在互联网上安全隐患，并提供实际可行安全修复提议。二. 远程渗透测试介绍 2.1 渗透测试原理渗透测试过程关键依据某某安全教授已经掌握安全漏洞信息，模拟黑客真实攻击方法对系统和网络进行非破坏性质攻击性测试。这里，全部渗透测试行为将在用户书面明确授权和监督下进行。 2.2 渗透测试步骤方案制订某某获取到XXX书面授权许可后，才进行渗透测试实施。而且将实施范围、方法、时间、人员等具体方案和XXX进行交流，并得到XXX认同。在测试实施之前，某某会做到让XXX对渗透测试过程和风险知晓，使随即正式测试步骤全部在XXX控制下。信息搜集这包含：操作系统类型指纹搜集；网络拓扑结构分析；端口扫描和目标系统提供服务识别等。能够采取部分商业安全评定系统（如：ISS、极光等）；无偿检测工具（NESSUS、Nmap等）进行搜集。测试实施在规避防火墙、入侵检测、防毒软件等安全产品监控条件下进行：操作系统可检测到漏洞测试、应用系统检测到漏洞测试（如：Web应用），此阶段假如成功话，可能取得一般权限。渗透测试人员可能用到测试手段有：扫描分析、溢出测试、口令爆破、社会工程学、用户端攻击、中间人攻击等，用于测试人员顺利完成工程。在获取到一般权限后，尝试由一般权限提升为管理员权限，取得对系统完全控制权。一旦成功控制一台或多台服务器后，测试人员将利用这些被控制服务器作为跳板，绕过防火墙或其它安全设备防护，从而对内网其它服务器和用户端进行深入渗透。此过程将循环进行，直到测试完成。最终由渗透测试人员清除中间数据。汇报输出渗透测试人员依据测试过程结果编写直观渗透测试服务汇报。内容包含：具体操作步骤描述；响应分析和最终安全修复提议。安全复查渗透测试完成后，某某帮助XXX对已发觉安全隐患进行修复。修复完成后，某某渗透测试工程师对修复结果再次进行远程测试复查，对修复结果进行检验，确保修复结果有效性。下图是更为具体步骤拆分示意图：某某渗透测试步骤图 2.3 渗透测试风险规避在渗透测试过程中，即使我们会尽可能避免做影响正常业务运行操作，也会实施风险规避计策，不过因为测试过程改变多端，渗透测试服务仍然有可能对网络、系统运行造成一定不一样程度影响，严重后果是可能造成服务停止，甚至是宕机。比如渗透人员实施系统权限提升操作时，突遇系统停电，再次重启时可能会出现系统无法开启故障等。所以，我们会在渗透测试前和XXX具体讨论渗透方案，并采取以下多条策略来规避渗透测试带来风险：时间策略：为减轻渗透测试造成压力和预备风险排除时间，通常安排测试时间在业务量不高时间段。测试策略：为了防范测试造成业务中止，能够不做部分拒绝服务类测试。很关键系统不提议做深入测试，避免意外瓦解而造成不可挽回损失；具体测试过程中，最终止果能够由测试人员做推测，而不实施危险操作步骤加以验证等。备份策略：为防范渗透过程中异常问题，测试目标系统需要事先做一个完整数据备份，方便在问题发生后能立即恢复工作。对于关键业务系统等不可接收可能风险系统测试，能够采取对目标副本进行渗透方法加以实施。这么就需要完整复制目标系统环境：硬件平台、操作系统、应用服务、程序软件、业务访问等；然后对该副本再进行渗透测试。应急策略：测试过程中，假如目标系统出现无响应、中止或瓦解等情况，我们会立即中止渗透测试，并配合XXX技术人员进行修复处理等。在确定问题、修复系统、防范此故障再重演后，经XXX方同意才能继续进行其它测试。沟通策略：测试过程中，确定测试人员和XXX方配合人员联络方法，便于立即沟通并处理工程中难点。 2.4 渗透测试收益渗透测试是站在实战角度对XXX指定目标系统进行安全评定，能够让XXX相关人员直观了解到自己网络、系统、应用中隐含漏洞和危害发生时可能造成损失。经过我们渗透测试，能够取得以下增益： n 安全缺点：从黑客角度发觉XXX安全体系中漏洞（隐含缺点），帮助XXX明确现在降低风险方法，为下一步安全策略调整指明了方向。 n 测试汇报：能帮助XXX以实际案例形式来说明现在安全现实状况，从而增加XXX对信息安全认知度，提升XXX人员风险危机意识，从而实现内部安全等级整体提升。 n 交互式渗透测试：我们渗透测试人员在XXX约定范围、时间内实施测试，而XXX人员能够和此同时进行相关检测监控工作，测试自己能不能发觉正在进行渗透测试过程，从中真实评定自己检测预警能力。 2.5 渗透工具介绍渗透测试人员模拟黑客入侵攻击过程中使用是操作系统自带网络应用、管理和诊疗工具、黑客能够在网络上无偿下载扫描器、远程入侵代码和当地提升权限代码和某某自主开发安全扫描工具。这些工具经过全球数以万计程序员、网络管理员、安全教授和黑客测试和实际应用，在技术上已经很成熟，实现了网络检验和安全测试高度可控性，能够依据使用者实际要求进行有针对性测试。不过安全工具本身也是一把双刃剑，为了做到万无一失，我们也将针对系统可能出现不稳定现象提出对应对策，以确保服务器和网络设备在进行渗透测试过程中保持在可信状态。 2.5.1 系统自带工具以下列出了关键应用到系统自带网络应用、管理和诊疗工具，某某渗透测试工程师将用到但不限于只使用以下系统命令进行渗透测试。工具名称风险等级获取路径关键用途存在风险描述风险控制方法 ping 无系统自带获取主机信息无无 telnet 无系统自带登录系统无无 ftp 无系统自带传输文件无无 tracert 无系统自带获取网络信息无无 net use 无系统自带建立连接无无 net user 无系统自带查看系统用户无无 echo 无系统自带文件输出无无 nslookup 无系统自带获取主机信息无无 IE 无系统自带取得web信息、进行SQL注入无无 2.5.2 自由软件和渗透测试工具以下列出了渗透测试中常见到网络扫描工具、网络管理软件等工具，这些工具全部是网络上无偿软件。某某渗透测试工程师将可能利用到不过不限于利用以下工具。远程溢出代码和当地溢出代码需要依据具体系统版本和漏洞情况来选择，因为种类繁杂而且没有代表性，在这里不会一一列出。工具名称风险等级获取路径关键用途存在风险描述风险控制方法 nmap 无 www.insecure.org 获取主机开放服务、端口信息无无 nessus 低 www.nessus.org 对主机进行漏洞扫描可能造成网络资源占用假如主机负载过高，停止扫描。 Retina 低对主机进行漏洞扫描可能造成网络资源占用假如主机负载过高，停止扫描。 nc 无端口连接工具无无远程溢出工具中 packetstormsecurity.nl 经过漏洞远程进入系统溢出程序可能造成服务不稳定备份数据，服务异常时重启服务。当地溢出工具中 packetstormsecurity.nl 经过漏洞当地提升权限溢出程序可能造成服务不稳定备份数据，服务异常时重启服务。三. 项目实施计划 XXX信息系统服务器关键包含域控、DNS、Mail、ERP、OA、档案、桌面管理、节点监控、财务和Web等约12台，其中DNS、Mail、ERP、OA和Web等6台服务器能够经过互联网直接访问。依据项目服务目标和项目服务内容，可将整个项目包含项目沟通、方案制订、信息搜集、测试实施、汇报输出和安全复查，项目实施计划表以下：项目阶段实施内容工期开启阶段项目开启协调会 0.5工作日实施阶段方案制订依据XXX信息系统实际情况制订具体测试方案、测试方法和测试工具准备。 1工作日信息搜集利用公开域查询、扫描、嗅探和社会工程学等手段搜集XXX信息系统大量信息，从中提取有用信息。 2工作日测试实施对前期搜集敏感或漏洞信息进行利用，控制部分服务器；然后利用被控制服务器作为跳板，绕过安全设备限制，对内网进行渗透。 22工作日汇报输出对前期工作和测试结果进行汇总，并制订安全修复提议，最终编写对应汇报。 1工作日安全复查修复完成后对修复结果进行复查，检测修复效果，并完成复查汇报。 1工作日验收阶段项目验收汇报会 0.5工作日 3.1 方案制订某某远程渗透测试小组依据XXX信息系统规模和实际业务情况制订具体渗透测试方案，包含测试方法选择、测试工具准备已经分析测试过程中可能带来风险分析和对应风险规避方法。 3.2 信息搜集在信息搜集阶段测试方法、测试内容和可能存在风险情况以下表所表示：测试方法测试内容风险等级存在风险风险控制方法工期（工作日）公开域信息搜集经过whois、nslookup、baidu、谷歌等方法搜索XXX信息系统公开域信息。无无无 0.5 扫描对XXX信息系统暴露在互联网网络、系统、主机和应用程序进行远程漏洞扫描，并对扫描结果进行分析。低尤其是对应用程序扫描会使用海量测试用例进行测试，可能消耗服务器一定性能终止扫描 1 社会工程学利用社会工程学原理获取XXX信息系统敏感信息无无无 0.5 3.3 测试实施测试实施阶段关键分为两个阶段。在第一阶段，某某测试人员依据前期搜集信息对XXX直接暴露在互联网系统进行测试，利用现在前沿入侵技术控制部分目标系统。第一阶段完成后，某某渗透测试小组和XXX相关人员进行沟通，汇报测试结果和下一步测试计划，双方达成共识并做好对应数据备份后，某某测试人员利用前期被控制系统作为跳板进行内网渗透测试。第一阶段测试对象和测试方法和可能出现风险情况以下表：测试对象测试方案风险等级存在风险风险控制方法工期（工作日）网络设备口令破解、嗅探中口令破解可能会消耗服务器性能停止破解 0.5 远程溢出类高可能出现未知错误而宕机重启设备 0.5 协议攻击，如路由欺骗、二层攻击等高可能造成路由错误，造成正常路由不可达重启设备 0.5 DNS 系统层漏洞，如口令破解、嗅探、远程溢出和已知木马后门探测和利用等中口令破解可能会消耗服务器性能停止破解 0.5 DNS软件远程溢出类测试高可能出现未知错误而使DNS服务无法正常运行重启DNS服务 0.5 Cache Poison 高投毒成功则造成dns无法正常解析域名查询请求重启DNS服务 1 DoS测试中严重影响服务器性能，严重时可能造成服务器处于假死状态停止测试 0.5 Mail 系统层漏洞，如口令破解、嗅探、远程溢出和已知木马后门探测和利用等中口令破解可能会消耗服务器性能停止破解 0.5 POP3口令破解中口令破解可能会消耗服务器性能停止破解 0.5 MTA软件远程溢出类测试高可能出现未知错误而使Mail服务无法正常运行重启DNS服务 0.5 邮件系统配置类缺点，如匿名转发，发信认证、认证策略等中伪造邮件欺骗用户端收信人员或钓鱼，对服务器端无危险通知被欺骗人员 1 用户端欺骗中制作欺骗性邮件欺骗用户端，从而获取敏感信息通知被欺骗人员 0.5 ERP 系统层漏洞，如口令破解、嗅探、远程溢出和已知木马后门探测和利用等中口令破解可能会消耗服务器性能停止破解 0.5 ERP系统认证授权类，包含暴力攻击、认证不充足、会话定置、会话期限不充足、凭证/会话估计和授权不充足等中口令破解可能会消耗服务器性能停止破解 0.5 ERP系统命令实施类，包含LDAP注入、SSI注入、SQL注入、Xpath注入、操作系统命令、格式字符串攻击和缓冲区溢出等高注入类测试可能造成页面或数据篡改测试时实时沟通，对于可能出现篡改时事先做好数据备份，并制订数据恢复方案 1 ERP系统逻辑攻击类，包含功效滥用和拒绝服务等高拒绝服务可能造成服务器反应缓慢停止测试 0.5 ERP系统用户端攻击类，包含跨站点脚本编制和内容电子欺骗等高对服务器无影响无 0.5 ERP系统信息泄露类，包含可估计资源定位、路径遍历、目录索引和信息泄露等中无无 0.5 OA 系统层漏洞，如口令破解、嗅探、远程溢出和已知木马后门探测和利用等中口令破解可能会消耗服务器性能停止破解 0.5 OA认证授权类，包含暴力攻击、认证不充足、会话定置、会话期限不充足、凭证/会话估计和授权不充足等中口令破解可能会消耗服务器性能停止破解 0.5 OA命令实施类，包含LDAP注入、SSI注入、SQL注入、Xpath注入、操作系统命令、格式字符串攻击和缓冲区溢出等高注入类测试可能造成页面或数据篡改测试时实时沟通，对于可能出现篡改时事先做好数据备份，并制订数据恢复方案 1 OA逻辑攻击类，包含功效滥用和拒绝服务等高拒绝服务可能造成服务器反应缓慢停止测试 0.5 OA用户端攻击类，包含跨站点脚本编制和内容电子欺骗等高对服务器无影响无 0.5 OA信息泄露类，包含可估计资源定位、路径遍历、目录索引和信息泄露等中无无 0.5 WEB （2个系统）系统层漏洞，如口令破解、嗅探、远程溢出和已知木马后门探测和利用等中口令破解可能会消耗服务器性能停止破解 0.5 WEB系统认证授权类，包含暴力攻击、认证不充足、会话定置、会话期限不充足、凭证/会话估计和授权不充足等中口令破解可能会消耗服务器性能停止破解 0.5 WEB系统命令实施类，包含LDAP注入、SSI注入、SQL注入、Xpath注入、操作系统命令、格式字符串攻击和缓冲区溢出等高注入类测试可能造成页面或数据篡改测试时实时沟通，对于可能出现篡改时事先做好数据备份，并制订数据恢复方案 2 WEB系统逻辑攻击类，包含功效滥用和拒绝服务等高拒绝服务可能造成服务器反应缓慢停止测试 1 WEB系统用户端攻击类，包含跨站点脚本编制和内容电子欺骗等高对服务器无影响无 1 WEB系统信息泄露类，包含可估计资源定位、路径遍历、目录索引和信息泄露等中无无 1 经过第一阶段测试，假如控制部分服务器后则进入第二阶段测试；假如第一阶段测试目标服务器处于较安全状态，测试人员未能控制部分部分服务器，则选择一台外网服务器，假设已被控制，再进入第二阶段测试。第二阶段测试对象和测试方法和可能出现风险情况以下表：测试对象测试方案风险等级存在风险风险控制方法工期（工作日）内网服务器口令破解、嗅探中口令破解可能会消耗服务器性能；网络嗅探可能出现短暂断网现象停止破解或停止嗅探 0.5 远程溢出类高可能出现未知错误而宕机重启服务器 0.5 内网用户端口令破解、嗅探中口令破解可能会影响网络性能；网络嗅探可能出现短暂断网现象停止破解或停止嗅探 0.5 远程溢出类高可能出现未知错误而宕机重启用户端 0.5 控制域服务器高无无 0 3.4 汇报输出测试人员汇总整理前期工作内容和结果，并依据XXX信息系统实际制订可行安全修复方案，最终形成《远程渗透测试汇报》。此过程共需1个人日。 3.5 安全复查渗透测试完成后，某某帮助XXX对已发觉安全隐患进行修复。修复完成后，某某渗透测试小组对修复结果再次进行远程测试复查，对修复结果进行检验，确保修复结果有效性。最终完成《渗透测试复查汇报》。此过程共需1个人日。四. 交付结果最终提交以下交付物件：《XXX信息系统远程渗透测试汇报》《XXX信息系统远程渗透测试复查汇报》五. 某某渗透测试优势某某渗透测试优势 l 专业化渗透测试团体某某拥有中国著名漏洞研究团体，对漏洞研究结果已经应用到了很多安全产品当中。多项基于漏洞研发产品均取得国际中国很多荣誉和行业广泛认可。某某渗透测试服务开展相对较早，经验很丰富，曾经参与过很多大型网站渗透测试工作（奥运会官网、国网等），而且在奥运会期间某某渗透测试团体曾为很多含有影响力和关键性网站提供了信息安全保障服务。渗透测试团体会依据项目标规模有选择性申请部分漏洞研发团体教授参与到项目中，共同组成临时渗透测试小组，面向用户提供深层次、多角度、全方位渗透测试。注：某某至今维护着中国最大汉字漏洞库，并含有基础漏洞分析定位能力。 l 深入化测试需求分析某某在渗透测试开展前期，会从技术层面（网络层、系统层、应用层）着手和用户进行广泛沟通，对用户目前部分关键资料进行采集、汇总、梳理、掌握，方便为渗透测试工作地开展奠定良好基础。除了技术层面以外，某某也将会依据用户渗透测试目标和提出需求着重对于用户业务层面进行分析，而且将分析结果应用于渗透测试当中，做到明确全部需求基础上正确而深入落实用户意图，将渗透测试目标和业务系统连续性运行保障紧密结合起来。 l 规范化渗透测试步骤某某渗透测试步骤分为准备、渗透和加固三个基础阶段，在每个阶段全部会生成阶段文档，最终在完成渗透测试整个步骤以后将会由项目经理将三个阶段文档进行整理、汇总、提交给用户。而且针对过程中碰到问题向用户进行汇报。某某提供渗透测试步骤特点就在于将渗透准备阶段及安全加固阶段作为两个独立而关键步骤贯穿于整个渗透测试过程当中，这么就能够结合某某在项目监控管理方面优势对整个渗透测试项目开展规范化加以保障。 l 全方面化渗透测试内容某某渗透测试内容基础围绕技术层面（系统层、应用层、网络层）进行开展，而且针对不一样层面安全漏洞及威胁某某提供了一系列渗透测试方法及步骤。而且结合不一样漏洞也提出对应修补提议供用户借鉴。某某渗透测试内容图

展开阅读全文