1 概述

1.1 安全體檢簡介

眾所周知，信息安全具有動態性、相對性等特征，任何網絡任何系統都可能存在安全隱患，所有的安全事件大部分都是由于這些安全隱患被攻擊者利用而導致的，因此對于組織單位來說，如何提前發現和防范這些安全隱患成為能否減少安全事件的最關鍵因素。

金馬電子安全體檢服務可以幫助組織單位發現自身的業務安全威脅和隱患，并根據發現的信息安全威脅和隱患，為客戶提供專業的信息安全解決方案。

金馬電子安全體檢服務有別于傳統的信息安全服務，首先由下一代防火墻旁路部署進行實時的攻擊行為與漏洞關聯分析，再通過專業的安全工程師進行深度的漏洞掃描和定向滲透，最終形成綜合分析報告，為組織單位提供更加全面、專業的安全體檢服務。

1.2 實施目標

本次旁路攻擊流量分析主要針對數據中心區域、內網辦公區域進行安全流量分析。

核心業務定向滲透對象

1.3 安全體檢原則

n  標準性原則：安全體檢實施依據金馬電子安全體檢流程進行。

n  規范性原則：安全體檢的過程以及過程中涉及到的文檔具有很好的規范性，以便于項目的跟蹤和控制。

n  可控性原則：在安全體檢項目實施過程中，按照標準的項目管理方法（SSE-CMM/IATF）對人員、組織、項目進行風險控制管理，以保證安全體檢在實施過程中的可控性。

n  最小影響原則：本次安全體檢遵循先預約確認、發送授權后方進行安全體檢等工作。

n  保密性原則：本項目已與XX公司簽訂相關的保密協議，以承諾對XX公司內部信息的保密。

2 安全體檢實施流程

2.1 實施方案制定、客戶授權許可

合法性即客戶授權委托，并同意實施方案是進行安全體檢的必要條件。安全體檢首先必須將實施方法、實施時間、實施人員、實施工具等具體的實施方案提交給客戶，并得到客戶的相應委托和授權。

應該做到客戶對安全體檢細節和風險的知曉，所有過程在可控的情況下展開。

2.2 信息搜集分析

信息搜集是每一步安全體檢的前提，通過信息搜集可以有針對性的制定模擬檢查計劃，提高安全體檢測試的成功率，同時可以有效的降低攻擊測試隊系統正常運行造成的不利影響。

信息搜集的方法包括PING sweep、DNS sweep、操作系統指紋識別、應用判別、賬號掃描、配置核查等。信息收集常用以下工具：

2.3 漏洞尋找與確認分析

通過初步的信息收集分析，存在以下可能性，一種是目標系統存在重大的安全弱點，測試可以直接控制目標系統；另一種是目標系統沒有遠程重大安全弱點，需要不斷的信息收集分析、權限提升形成了安全體檢的整個過程。

2.4 報告輸出階段

安全體檢之后，測試者將會提供一份安全體檢測試報告。報告將會十分詳細的說明安全體檢過程中得到的數據和信息，并且將會詳細的記錄安全體檢的相關操作。

3 安全體檢涉及的技術【部分】

3.1 信息搜集階段

3.1.1 域名信息搜集

通過whois信息來收集域名的相關信息，為滲透測試提供信息資料

使用工具：http://whois.chinaz.com/

3.2 漏洞尋找階段

3.2.1 檢查SQL注入漏洞

注入點一般分布在GPC三個頭部，其它HTTP頭部也可能產生注入漏洞，例如X-Forwarded-For，如果服務器那邊使用此頭部記錄客戶端IP并代入數據庫查詢，那么就有可能產生SQL注入漏洞

如下圖wireshark用抓取的隱藏參數提交：

對于HTTP頭部的注入檢測，需要使用burpsuite增加攻擊特征來檢測HTTP頭部是否可注入，例如在referer字段后面增加單引號“’”來檢測

3.2.2 檢查XSS跨站腳本漏洞

XSS漏洞一般分為3類：

1、 反射型

2、 存儲型

3、 Dom型

其中反射型和dom型很接近，需要讓網站管理員相信你發給他的鏈接，然后獲取管理員的cookie信息

存儲型只要管理員看了包含xss代碼的文章就會自動發送cookie信息給xss平臺

因此在尋找xss漏洞的時候，需要做以下確認：

1、 確認用戶輸入的內容會出現在網頁代碼中（DOM類型除外）

2、 觸發xss必要的關鍵字、特殊字符等沒有被過濾，比如script、alert、eval、<>、/\#&’”等

3、 系統的過濾機制能否繞過

3.2.3 檢查網站信息泄露

Wwwscan工具如下圖所示：

可以根據網站的開發腳本類型選擇對應的掃描類型

Edit對應web編輯器如fckeditor

Dir對應目錄掃描

Rar對應rar壓縮文件

Txt對應txt說明文件

Db對應數據庫路徑

4 風險規避措施

4.1 安全體檢時間與策略

4.1.1 時間選擇

安全體檢旁路部署部分對業務使用無影響，可正常工作時間處理，如需要安全掃描或滲透測試，將盡量安排在業務量不大的時段或晚上。

4.1.2 攻擊策略集選擇

為防止安全掃描或滲透測試造成的網絡和業務中斷，在具體體檢測試過程中不使用含有拒絕服務的測試策略。

4.1.3 保守策略選擇

對于不能接受任何風險的主機系統，如銀行票據系統、網銀系統，電力調度可以選擇以下操作：

1）、完整復制一份待測試系統程序，系統等；

2）、對已復制系統二次部署，并對副本程序進行測試。