文档介绍：成都国信安信息产业基地
四川品胜安全性渗透测试
测
试
方
案
成都国信安信息产业基地
二〇一五年十二月
成都国信安信息产业基地
第1页
会话验证绕过
中间件漏洞
其他〔如：写入控制,防止批量添加数据,是否使用验证码等〕
APP源生客户端
组件安全检测
代码安全检测
内存安全检测
数据安全检测
业务安全检测
应用管理检测
服务器
身份鉴别
自主访问控制
强制访问控制
可信路径
安全审计
剩余信息保护
入侵防范
成都国信安信息产业基地
恶意代码防范
资源控制
数据库数据安全
成都国信安信息产业基地
测试内容
检测项目
检测子类
类型
扫描测试
渗透测试
当日达
前端SSO单点登录网站
WEB
√
√
后端SSO单点登录网站
WEB
√
√
当日达商城4期前台网站
WEB
√
√
当日达商城3期后台
WEB
√
√
当日达商城4期后台
WEB
√
√
砸金蛋活动
WEB
√
砸金蛋后台
WEB
√
一元云购
WEB
√
月月抢神器
WEB
√
滴滴贴膜
WEB
√
快递查询〔PC端〕
WEB
√
快递查询〔移动端〕
WEB
√
中国人民不断电
WEB
√
√
千城通APP
APP
√
千机团
网站+APP
WEB+APP
√
√
进销存
IMS进销存系统
WEB
√
√
IMS进销存管理工具
WEB
√
√
品胜云
路由器固件升级后台管理
WEB
√
√
成都国信安信息产业基地
〔 版〕
APP
√
〔IPAD版〕
APP
√
〔 版〕
APP
√
APP
√
WEB服务
文件上传服务
WebService
√
√
当日达商城3期后台服务
WebService
√
√
千城通APP调用服务
WebService
√
√
品胜云服务
WebService
√
√
品胜商城服务
WebService
√
√
路由器固件升级服务
WebService
√
√
服务器
CentOS 64bit (3台)
Server
√
CentOS 64bit (3台)
Server
√
Windows Server 2012 (2台)
Server
√
Windows Server 2008 (8台)
Server
√
成都国信安信息产业基地
测试方法
针对本次项目的测试范围和内容，我公司采取渗透测试的方法对整体系统进行安全性评估。
渗透测试原理
渗透测试过程主要依据现今已经掌握的安全漏洞信息，模拟黑客的真实攻击方法对系统和网络进行非破坏性质的攻击性测试，这里说有的渗透测试行为将在客户的书面明确授权和监督下进行。
渗透测试的流程
方案制定：
在获取到业主单位的书面授权许可后， 才进行渗透测试的实施。并且将实施范围、方法、时间、 人员等具体的方案与业主单位进行交流，并得到业主单位的认同。 在测试实施之前，会做到让业主单位对渗透测试过程和风险的知晓， 使随后的正式测试流程都在业主单位的控制下。
信息收集：
这包括：操作系统类型指纹收集；网络拓扑结构分析；端口扫描和目标系统提供的服务识别等。 可以采用一些商业安全评估系统〔如： ISS、极光等〕 ； 免费的检测工具〔NESSUS、Nmap 等〕进行收集
测试实施：
在躲避防火墙、入侵检测、防毒软件等安全产品监控的条件下进行：操作系统可检测到的漏洞测试、应用系统检测到的漏洞测试〔如：Web应用〕，此阶段如果成功的话，可能获得普通权限。渗透测试人员可能用到的测试手段有：扫描分析、溢出测试、口令爆破、社会工程学、客户端攻击、中间人攻击等，用于测试人员顺利完成工程。 在获取到普通权限后， 尝试由普通权限提升为管理员权限， 获得对系统的完全控制权。一旦成功控制一台或多台服务器后，测试人员将利用这些被控制的服务器作为跳板，绕过防火墙或其他安全设备的防护，从而对内网其他服务器和客户端进行进一步的渗透。此过程将循环进行， 直到测试完成。最后由渗透测试人员清除中间数据
成都国信安信息产业基地
。
报告输出：