Web应用渗透测试的详细步骤和工具组合

上一篇 / 下一篇  2021-05-14 09:21:44 / 个人分类:渗透测试

众所周知,在应用设计中的某个简单的缺陷、配置上的错误、以及网络钓鱼攻击,都可能给Web服务器造成巨大的损失。有统计显示,全球有75%的IT领导者,对其Web应用的安全性缺乏信心。因此近年来,Web应用的安全性已逐渐成为了各种规模的企业的日常关注与防范重点。
从目的上说,Web应用安全旨在:保护Web网站、应用、以及服务,免受那些针对应用级源代码弱点的、各种新增或既有的安全性威胁。下面,我将和您讨论和总结,在执行Web应用的渗透测试过程中,常用的步骤、方法与工具。
什么是Web应用渗透测试?
在组织内部、本地或云端的各类Web服务器,往往会持续面临着各种恶意源的攻击。为了降低此类风险,网络安全专家需要通过模拟针对Web应用、网站或服务的一系列攻击方式,以发现能够被网络攻击者轻易利用的各种漏洞,识别出潜在的威胁,以及掌握组织整体应用的安全态势。这个过程便是Web应用渗透测试。
了解渗透测试的核心步骤
Web应用安全性测试的关键步骤包括:
预备动作
确定被测组织的业务范围、目标、以及安全态势是至关重要的。测试人员需要在此阶段识别出,目标组织正在使用的虚拟资产和实物资产。据此,测试人员需要判断出将要对目标系统采取:黑盒测试白盒测试、还是灰盒测试。
情报收集
此步骤对于分析Web应用的设置是至关重要的。我们通常分为被动和主动两个收集阶段。其中:
  • 在被动阶段,测试人员主要收集那些可以在互联网上被轻松获得的信息,而无需直接与应用进行交互。例如,使用Google语法('site:*.domain.com'),来识别应用的子域,或使用Wayback Machine(译者注:自1996年以来,该站点持续给整个互联网做备份,累计完成了1500亿个网页),来检查网站的存档版本。
  • 在主动阶段,测试人员对目标系统进行探测,以提取可供进一步分析的实用信息。例如,对Web应用进行“指纹识别”,以发现所用到的技术版本,进而执行DNS查找,时区转换,触发错误页面,以及检查源代码等操作。
漏洞扫描与分析
在了解了系统内部的关键控制点之后,测试人员可以开始仔细检查那些可用来攻击的向量,以确定组织的重要信息是否存在着潜在风险。在这个阶段,他们通常会使用Zed Attack Proxy(ZAP)、Burp Suite Pro、以及Acunetix等工具,对目标应用的漏洞进行扫描,以识别安全漏洞,并了解应用是如何响应各种入侵尝试的。
利用阶段
有了前面收集到的各种详尽数据,以及对在扫描阶段发现漏洞的深入分析,测试人员选用各种可利用的技术和方法,实施渗透“攻击”。例如:使用SQL注入可以获得对于数据库的未授权访问权限;使用蛮力工具可以直接跳过授权机制;将恶意脚本上传至应用服务器,进而获取命令行Shell的访问权限等。
整理威胁并制定补救措施
根据渗透的效果,测试人员总结并评估已开展的测试,对已发现的威胁和风险进行严重性排序,形成有针对性的补救建议,并最终生成完整的深度报告。而在组织的IT团队修复了错误,并消除了漏洞之后,测试人员立即开展新的一轮渗透测试。
四种通过渗透测试识别威胁的常用方法
通常,合格的Web安全渗透专家会用到如下四种安全测试方法:
1. OWASP(开放式Web应用安全项目)
OWASP是一个致力于通过从高到低列举十大威胁,来增强软件系统安全性的实体。它汇集了来自全球各地的技术专家,他们不断分享着有关威胁和攻击的各种洞见。而OWASP Top10(十大漏洞)则是一套定期更新的知名文档。它突出展示了Web应用可能面临的10大最关键的威胁。其中包括:注入、失效的身份认证、敏感信息的泄漏、XML外部实体(XXE),访问控制的破坏,安全配置的错误,跨站脚本XSS,不安全的反序列化,使用具有已知漏洞的组件,以及日志记录和监控的不到位。
2. PCI DSS(支付卡行业数据安全标准)
作为一组合同义务,PCI DSS旨在确保所有处理、存储或传输信用卡信息的组织,都能够维护一个安全的环境。它在全球范围内,被视为一种黄金标准,可被用来确保组织内各种付款类相关信息的安全性。
该标准不但提升了客户的信任度,而且有助于防止那些轻度违规事件,所导致的敏感信息的丢失。毕竟这些对于支付场景而言,都是至关重要的。
3. OSSTMM(开源安全测试方法)
作为一个开源的安全测试手册,OSSTMM每六个月会定期更新一次,以反映最新的网络威胁。它旨在通过一个系统性的、科学的过程,协助用户获取可靠的渗透测试报告,分析各种漏洞,红队行为,以及其他安全类活动。
OSSTMM所包含的测试范围包括:人员安全、物理安全、无线安全、电信安全、以及数据网络安全等测试。它能够无缝地与您当前用到的各种安全测试协议相连接。
4. ISSAF(信息系统安全评估框架)
ISSAF旨在评估系统、应用控制和网络的安全性。它是由一个结构化的九步走组成。其中包括:收集信息,映射网络,识别漏洞,渗透,获取基本访问权限,提权,维持访问权限,破坏远程用户与站点,隐藏测试者的数字“足迹”。
客观而言,此类渗透测试与其他常用方法相比,略显复杂。
可用于有效分析的七种渗透测试工具
目前,大多数渗透测试工具都属于自动化范畴。当然,其中也有部分工具需要测试人员手动触发和执行。而在实际应用场景中,我们往往需要将手动和自动化测试技术相结合。下面让我们来看一些最常用到的工具。
1. Zed攻击代理(ZAP)
ZAP是由OWASP维护的、最流行且最常用的开源式Web应用扫描程序之一。它实质上是通过“中间人代理”的方式,实现漏洞检测。也就是说,ZAP在逻辑上位于渗透测试人员的浏览器和目标Web应用之间,对于浏览器与Web应用间的往来消息,进行拦截,检查和修改。
2. Burp Suite Pro
作为最流行的渗透测试工具包之一,Burp Suite通常被用于识别Web应用的各种安全性漏洞。同样作为基于代理的工具,它能够拦截浏览器与任何目标应用之间的通信。
目前,该工具带有各种实用且强大的功能,其中包括:针对特定请求而生成的概念验证(proof-of-concept)式CSRF攻击,带有大量漏洞签名库的扫描程序,具有功能内容与潜在威胁自动化发现等功能。
3. Veracode
作为一款功能强大的静态分析工具,Veracode可以让您快速地识别和修复应用中的安全漏洞。同时,该工具能够在无需源代码的情况下,分析出应用的主要安全框架和编程语言。
在实际应用中,它可以通过集成到您的软件开发生命周期中,方便开发团队编写出安全的代码,并且评估Web、移动、以及后端应用的安全性。
4. SQLMap
作为被广泛使用的开源工具之一,SQLMap可以被用于识别和利用数据库的相关漏洞(例如SQL注入),以及对数据库服务器实施接管。目前,该工具主要支持诸如:MySQL、MSSQL、MongoDB、Oracle、以及PostgreSQL等DBMS(数据库管理系统)。
5.Vega
Vega是另一款开源的Web应用漏洞扫描工具。它可以帮助您快速地发现和验证诸如XSS(跨站点脚本攻击)、SQL注入、以及其他可能让Web应用暴露在风险之中的关键性漏洞。作为一款由Java编写的、基于GUI的工具,Vega能够支持诸如:LinuxWindows和OS X等主流操作系统
6. Arachni
Arachni能够通过对Web应用执行安全性测试,以识别,分类,分析和记录各种安全性问题。与其他扫描工具不同的是,Arachni考虑到了Web应用的动态性。它可以检测在复杂性路径中,由漂移(drifting)引发的变化,并据此作出相应的调整。因此,它是渗透测试人员和管理员的理想选择。
7. Dirb
作为针对Web内容的实用扫描工具,Dirb通过对Web服务器发起基于字典的攻击、或蛮力攻击,来识别应用中现有或隐藏的Web目录。同时,Dirb属于命令行类型的实用程序。它可以提供专业的Web应用审核,进而保障组织在Web应用中敏感数据的安全性。

TAG:

 

评分:0

我来说两句

日历

« 2022-11-19  
  12345
6789101112
13141516171819
20212223242526
27282930   

数据统计

  • 访问量: 6916
  • 日志数: 39
  • 建立时间: 2021-05-08
  • 更新时间: 2021-06-21

RSS订阅

Open Toolbar