1、 网站风险评定汇报 ——《信息安全工程》汇报 课程名称 信息安全工程 班 级 专 业 信息安全 任课老师 学 号 姓 名 目录 封面---------------------------------------
2、1 目录-------------------------------------------------------------------------2 一、评定准备-------------------------------------------------------------3 1、安全评定准备-----------------------------------------------------3 2、安全评定范
3、围-----------------------------------------------------3 3、安全评定团体-----------------------------------------------------3 4、安全评定量划-----------------------------------------------------3 二、风险原因评定-------------------------------------------------------3
4、 1．威胁分析-----------------------------------------------------------3 1.1威胁分析概述--------------------------------------------------3 1.2威胁分析起源--------------------------------------------------4 1.3威胁种类--------------------------
5、4 2．安全评定-----------------------------------------------------------7 2.1高危漏洞--------------------------------------------------------7 2.2中级漏洞--------------------------------------------------------7 2.3低级
6、漏洞--------------------------------------------------------8 三、综述--------------------------------------------------------------------8 1.1含有最多安全性问题文件--------------------------------9 1.2Web风险分布统计--------------------------------------------9
7、 2.Web风险类别分布-----------------------------------------------10 3.渗透测试------------------------------------------------------------10 4.漏洞信息------------------------------------------------------------15 四、风险评价----------------------------------------------------
8、18 五、风险控制提议-------------------------------------------------------19 附录:------------------------------------------------------------------------22 一、评定准备 1、安全评定目标 在项目评定阶段，为了充足了解SecurityTweets这个网站安全系数，所以需要对SecurityTweets这个网站目前关键服务器
9、和web应用程序进行一次抽样扫描和安全弱点分析，对象为SecurityTweets全站，然后依据安全弱点扫描分析汇报，作为提升SecurityTweets系统整体安全关键参考依据之一。 2、安全评定范围 本小组将对以下系统进行安全评定： 采取linux系统web服务器（IP地址：176.28.50.165） 采取nginx服务器程序web站点 采取MySQL数据库 3、安全评定团体 组员组成： 组员 姓名 班级 学号 使用工具： 1、Acunetix Web Vulnerability Scanner 2、BurpSuite 4、安
10、全评定量划 1、此次针对网站安全评定分为2个步骤进行。第一步利用现有优异安全评定软件来模拟攻击行为进行自动探测安全隐患；第二步依据第一步得出扫描结果进行分析由小组组员亲自进行手动检测，排除误报情况，查找扫描软件无法找到安全漏洞。 2、第一步我们采取两种不一样渗透测试软件对网站做总体扫描。采取两种工具是因为这两个工具侧关键不一样，能够互为补充，使得分析更为正确。然后生成测试汇报。 3、依据上一步生成测试汇报，由组员亲自手动验证汇报可信性。 4、依据安全扫描程序和人工分析结果写出这次安全评定汇报书。 二、风险原因评定 1. 威胁分析 1.1. 威胁分析概述 此次威胁分析是对一个
11、德国SecurityTweets网站进行。威胁分析包含具体内容有：威胁主体、威胁路径、威胁种类。 1.2. 威胁起源 SecurityTweets 网站是基于Internet 体系结构建立，网络业务系统大全部采取TCP/IP作为关键网络通讯协议，其本身提供了多种多样接口以供使用和维护，然而，这些接口一样可能向威胁主体提供了攻击路径： 起源 描述 环境原因 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震、意外事故等环境危害或自然灾难，和软件、硬件、数据、通讯线路等方面故障 人为原因 恶意人员 不满或有预谋内部人员对信息系统进行恶意破坏；采取自主或内外勾结
12、方法偷窃机密信息或进行篡改，获取利益 外部人员利用信息系统脆弱性，对网络或系统保密性、完整性和可用性进行破坏，以获取利益或炫耀能力 非恶意人员 内部人员因为缺乏责任心，或因为不关心或不专注，或没有遵照规章制度和操作步骤而造成故障或信息损坏；内部人员因为缺乏培训、专业技能不足、不含有岗位技能要求而造成信息系统故障或被攻击 1.3. 威胁种类： 1.描述 这个脚本是可能轻易受到跨站点脚本（XSS）攻击。 跨站点脚本（也被称为XSS）是一个漏洞，许可攻击者发送恶意代码（通常在Javascript中形式）给其它用户。因为浏览器无法知道是否该脚本应该是可信是否，它会在用户上下文中，许
13、可攻击者访问被浏览器保留任何Cookie或会话令牌实施脚本。 即使传统跨站点脚本漏洞发生在服务器端代码，文档对象模型跨站点脚本是一个类型漏洞会影响脚本代码在用户端浏览器。 2. 描述 基于堆缓冲区溢出在nginx1.3.15SPDY实施1.4.7和1.5.x版本1.5.12之前之前许可远程攻击者经过特制请求实施任意代码。该问题影响ngx_http_spdy_module模块（默认情况下不编译），并编译nginx - 和调试配置选项，假如“听”指令“SPDY”选项用于在配置文件中。 3．描述 您使用是脆弱Javascript库。一个或多个漏洞汇报这个版本JavaScript库。咨
14、询攻击细节和Web引用相关受影响库，并进行了报道，该漏洞具体信息。 4.描述 XML支持被称为“外部实体”，它指示XML处理器来检索和实施内嵌设施包含XML在特定URI。一个外部XML实体能够用来追加或修改和XML文档相关联文档类型定义（DTD）。外部XML实体也能够用于对XML文档内容中包含XML。 现在假设XML处理器解析数据从下攻击者控制一个光源发出。大多数时候，处理器将不会被确定，但它可能包含替换文本从而引发意想不到文件打开操作，或HTTP传输，或任何系统IDSXML处理器知道怎样访问。 以下是将使用此功效包含当地文件（/ etc / passwd文件）内容示例XML文档
15、
<？XML版本=“1.0”编码=“UTF-8”？>
<！DOCTYPEAcunetix[
<！实体acunetixent系统“文件:/// etc / passwd文件”>
]>
16、在一个未加密通道。这些信息应该一直经过加密通道（HTTPS），以避免被拦截恶意用户转移。 6.描述 点击劫持（用户界面补救攻击，用户界面补救攻击，用户界面救助权利）是诱骗网络用户点击东西从什么用户会感觉到她们是点击，从而有可能泄露机密资料，或利用其电脑同时控制不一样恶意技术点击看似无害网页。 该服务器没有返回X帧选项头这意味着该网站可能是在点击劫持攻击风险。 X框，选择HTTP响应头能够被用于指示浏览器是否应该被许可以展现页面中或