Web应用渗透技术范例.pptx

Web应用渗透测试技术 主讲人：刘 璟 Outline Web应用渗透技术基础 Web应用漏洞扫描探测 Web应用程序渗透测试 总结 2 Web应用渗透技术基础 什么是渗透测试 Web应用渗透测试 OWASP Web漏洞TOP 10 近期Web应用攻击典型案例 渗透测试工具简介 3 什么是渗透测试 A penetration test (pentest) is a method of evaluating computer and network security by simulating an attack on a computer system or network from external and internal threats*. 4 什么是渗透测试 Penetration tests are valuable for several reasons*: Identifying higher-risk vulnerabilities that result from a combination of lower-risk vulnerabilities exploited in a particular sequence Identifying vulnerabilities that may be difficult or impossible to detect with automated network or application vulnerability scanning software Assessing the magnitude of potential business and operational impacts of successful attacks Testing the ability of network defenders to successfully detect and respond to the attacks 5 Web应用渗透技术基础 什么是渗透测试 Web应用渗透测试 OWASP Web漏洞TOP 10 近期Web应用攻击典型案例 渗透测试工具简介 6 典型的网络组织方式 Web is everywhere. 一个组织或公司提供对外的门户网站 7 Web应用程序体系结构 8 Web应用渗透技术基础 什么是渗透测试 Web应用渗透测试 OWASP Web漏洞TOP 10 近期Web应用攻击典型案例 渗透测试工具简介 9 OWASP Web漏洞TOP 10 The Open Web Application Security Project (OWASP) is a worldwide not-for-profit charitable organization focused on improving the security of software. OWASP Top Ten: The goal of the Top 10 project is to raise awareness about application security by identifying some of the most critical risks facing organizations. 10 OWASP Top Ten SQL注入攻击（SQL Injection, SQLi）：指发生在Web应用对后台数据库查询语句处理存在的安全漏洞。简单地说，就是在输入字符串中嵌入SQL指令，在设计程序中忽略了对特殊字符串的检查，嵌入的指令便会被误认为正常的SQL指令。 跨站脚本（Cross-Site Scripting, XSS）：恶意使用者将程序代码（恶意脚本）注入到网页上，其他使用者在浏览网页时就会受到不同程度的影响。 跨站伪造请求（Cross-Site Request Forgery, CSRF）: 属于XSS的衍生。攻击者利用XSS的注入方式注入一段脚本，当受害者点击浏览器运行该脚本时，脚本伪造受害者发送了一个合法请求。 11 OWASP Top Ten 会话认证管理缺陷（Broken Authentication and Session Management, BASM）:首次传送Cookie后，便不对Cookie中的内容进行检查，攻击者便可修改Cookie中的重要信息，用来提升权限，或是冒用他人账号获取私密资料。 安全误配置（Security Misconfiguration）：存在于Web应用的各层次，譬如Web平台、Web服务器、应用服务器、程序代码等。 不安全的密码存储（Insecure Cryptographic Storage） 不安全的对象参考（I