渗透测试报告.docx

《渗透测试报告.docx》由会员分享，可在线阅读，更多相关《渗透测试报告.docx（28页珍藏版）》请在第一文库网上搜索。

1、渗透测试报告1测试环境22测试对象信息23测试结果综述33.1 问题数量（全部173）33.2 问题数量（按“测试类型）33.3 安全性问题（按“威胁分类）43.4 安全性问题（按“问题类型）53.5 有漏洞UR1和无漏洞的UR1比较63.6 修复任务数量74问题摘要74.1 高严重性问题74.2 中等级别的安全性问题84.3 低级别严重性问题84.4 参考信息严重性问题85修复任务96漏洞详述116.1 严重性为高的问题116.2 严重性为中的问题146.3 严重性为低的问题156.4 严重性为参考的问题211测试环境系统：win8.1工具：IBMSecurityAppScanStandar

2、dV8.8(界面如图所示)文件MkE)SV(V)的S)mr(H)、因Q-O.:二正色停手期可国很告量扰臼覆日百PmYqoUuw令jr&网*两T/Vi/aoidio)询WOidmh!tp10.0.0,SS(31)，fad!nfobp浦yvicephp(1)口cgban(I)Ocss(2)口ddnOfies(3)OimagesH1Oinc1ude(S)OB(3)g5terrefOscriptO却。(3)Ovote-0(1)-http100Q558a00ncMdeibece,HPExceShred0dcwn0d4hp8己JHAH求SB目WrtHI8)gFUibMtAJo*5rip种少HttpOrt1

3、ySti(1)us阳g日接9ft用了TRACEfTRACKHP前(2)U白划幅主对M亨陵1猊的HTM11(3)HTM1注目筮等值电泡，2)U发5诧子修建均HUO漫班可*殿当WB役泄模式(1)发式梃IPEEKI1qj.*M(JavaScript)Cookie9IR(7)OI询包语0.馋订议港事/应产性充ttff*上一个下一天：1的1ttavia勒的S0显示asoeaCZTinc1ud11bMe1Pf1n*cIShar*dJAMMdocdammouMV22*1rM：Xos&11a/S.Ooo1b1;KSZK10.0;MindoveNTC.2;V0Naotfj”2722OpaSS1X0.0-pMV/

4、2PHP5.2J7XPovrdBy:9KP/&.2.17ConMttj19Ur113SContent-Typ.%jct%a1wtf.v3.orgX9xtoc*1w1：JM(v1.0.Kd1Xr8oc,con*n(*ndx.fo11owmtan*php.Mtt1xrmtx1x1ibrary,cto1kydccc1on.1gev1udccapion.1gavccorvIucoapo1ion,qrdcvpoiv1on.1n91rva1udcoapoiona(40-gfi：1而专当：M梆也运行X”KR：“不期己应用别事始谓来；eWttBcaMu*Br1rt(1)Wff：*M果例于候W在吸1，E1为内P

5、gg在*应中或。瀛入了静本女用户秋号中淡入会解勺相A行该孙5。CIUR：Ii己访i面贡畸：362/352台(位的元米象：H57/2S57发的MTn育王如畴80A1力个安全Iii破e182(D137-J春EaJ证。“4挣B：桢H2测试对象信息深澜登陆页面主机：10.0.0.55操作系统：UnixWeb服务渊：Orac1eWeb1istener应用程序服务器：PHP3测试结果综述3.2问题数量（按“测试类型”）类型有漏洞的UR1应用程序152郸出结构21第三方Web组件O总计173服务器酉e置错误恶意内容测试远程文件包含蛮力1DAP注入会话定置不安全索弓IUR1重定向滥用内容电子欺骗会话期限不足传

6、输层保护不足XPath注入HTTP响应分割SOAP数组滥用XM1属性放大SSI注入格式字符串XM1实体扩展XM1外部实体凭证桧话预测可预测奥源位置权限不足缓冲区溢出空字节注入认证不充分功能滥用目录索引操作系统命令信息泄露SQ1）跨站点请求伪造路径遍历跨站点脚本编制拒绝服务安全性问题（按照“威胁分类D14400010204060801001201403.4安全性问题（按“问题类型”）安全性问题（按照“问题类型”）客户端（JavaScript）Cookie弓佣7发现内部IP泄露模式119发现可能的服务器路径泄露模式1发现电子邮件地址模式8HTM1注释敏感信息泄露2自动填写未对密码青段禁用的HTM1

7、属3启用了TRACE和TRACKHTTP方法2检测到隐藏目录1会话COOkie中跳少HttpOnIy属性1发现Web应用程序源代码泄露模式2F1ash参数A1IowScripttoess已设置为a1waysJ目录列表18已解密的赘录请求5跨站点脚本编制13.5有漏洞UR1和无漏洞的UR1比较有漏洞的UR1和无漏洞的UR1比较（）无漏洞的UR110.72有漏洞的UR1,0.283.6修复任务数量修复任务（按照优先级）114问题摘要4.1高严重性问题问题类型问题（所有严重性）跨站点脚本编制I已解密的登录请求4,2中等级别的安全性问题问题类型问题（所有严重性）问题类型问题（所有严重性）4.4参考信息

8、严重性问题问题类型问题（所有严重性）问题类型问题（所有严重性）5修复任务修复任务计数优先级I查看危险字符注入的可能解决方案1High发送敏感信息时,始终使用SS1和POST（主体）参数。5High修改服务器配置以拒绝目录列表，并安装推出的最新安全补丁18Medium除去HTM1注释中的敏感信息21ow除去Web站点中的电子邮件地址81ow修复任务计数优先级I除去Web站点中的内部IP地址1191ow除去web-server中的源代码文件并应用任何相关补丁21ow除去客户端中的业务逻辑和安全逻辑71ow对禁止的资源发布“404-NotFoUnd”响应状态代码，或者将其完全除去11ow将A11ow

9、scriptAccess参数设置为sameDomain”，它会告诉F1ash播放器仅从同一个域加载作为父级SWF的SWF文件才会对主管Web页面具有脚本访问权限31ow将autocomp1ete”属性正确设置为off31ow为Web服务器或Web应用程序下载相关的安全补丁11ow向所有会话cookie添加HttpOnIy属性11ow在Web服务器中禁用HTTPTRACE支持21ow6漏洞详述6.1 严重性为高的问题问题类型：跨站点脚本编制（1/2）威胁分类跨站点脚本编制技术描述AppScan检测到应用程序未对用户可控制的输入正确进行无害化处理,就将其放置到充当Web页面的输出中。这可被跨站点脚

10、本编制攻击利用。在以下情况下会发生跨站点脚本编制（XSS）脆弱性:1不可信数据进入Web应用程序，通常来自Web请求。2Web应用程序动态生成了包含此不可信数据的Web页面3页面生成期间，应用程序不会禁止数据包含可由Web浏览器执行的内容，例如JavaScript.HTM1标记、HTM1属性、鼠标事件、F1ash和ActiveX.4受害者通过Web浏览器访问生成的Web页面，该页面包含已使用不可信数据注入的恶意脚本。5由于脚本来自Web服务器发送的Web页面，因此受害者的Web浏览器在Web服务器的域的上下文中执行恶意脚本。6这实际违反了Web浏览器的同源策略的意图，该策略声明一个域中的脚本不应该能够访问其他域中的资源或运行其他域中的代码。一旦注入恶意脚本后，攻击者就能够执行各种恶意活动。攻击者可能将私有信息（例如可能包含会话信息的cookie）从受害者的机器传输给攻击者。攻击者可能以受害者的身份将恶意请求发送到Web站点，如果受害者具有管理该站点的管理员特权，这可能对站点尤其危险。网络钓鱼攻击可用于模仿可信站点，并诱导受害者输入密码，从而使攻击者能够危及受害者在该Web站点上的帐户。最后，脚本可利用Web浏览器本身中的脆弱性，可能是接管受害者的机器（有时称为“路过式入侵”）o主要有三种类型的XSS:类型1: