1
2
3
4
010-57298809
渗透测试（Penetration Test，PT）是完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标系统的安全做深入的探测，发现系统最脆弱的环节。渗透测试和黑客入侵最大区别在于渗透测试是经过客户授权，采用可控制、非破坏性质的方法和手段发现目标和网络设备中存在弱点，帮助管理者知道自己网络所面临的问题。
|
2.1 信息收集：利用公开域查询、扫描、嗅探以及社会工程学等手段收集系统大量信息，从中提取有用信息。通过对网络信息收集分析，可以相应地、有针对性地制定模拟黑客入侵攻击的计划，以提高入侵的成功率。
2.2 端口扫描：通过对目标地址的 TCP/UDP 端口扫描，确定其开放的服务数量和类型。通过端口扫描，可以基本确定一个系统的基本信息，并且结合测试人员的经验可以确定其可能存在，以及被利用的安全弱点，为进行深层次的渗透提供依据。 2.3 权限提升：通过获取本地权限，收集本地资料信息，寻求本地权限升级的机会。通过对信息收集分析、权限升级的结果输出整个渗透测试过程。 2.4 应用测试：1、检查应用系统架构，防止用户绕过系统直接修改数据库；2、检查身份认证模块，防止非法用户绕过身份认证；3、检查数据库接口模块，防止用户获取系统权限；4、检查文件接口模块，防止用户获取系统文件；5、检查其他安全威胁。 2.5 不同网段/Vlan之间的渗透：这种渗透方式是从某内/外部网段，尝试对另一网段/Vlan 进行渗透。 2.6 检测页面隐藏字段：网站应用系统常采用隐藏字段存储信息，有不良居心的用户通过操作隐藏字段内容，进行恶意交易和窃取信息等行为，是一种非常危险的漏洞。 2.7 后门程序：检查系统开发过程中遗留的后门和调试选项可能被入侵者所利用，导致入侵者轻易地从捷径实施攻击。 2.8 代码审查：对受测业务系统站点进行安全代码审查，识别出会导致安全问题和事故的不安全编码技术和漏洞。 2.9 其他测试：在渗透测试中还需要借助暴力破解、网络嗅探等其他方法，来尝试获取用户名及密码。 【三】服务对象
|企业网站|电商平台 |政务外网| 网页应用 | 微信服务号 | 微信小程序 | 工控安全测试
【四】服务方式
4.1 人工模拟测试：测试人员模拟真正的入侵者入侵攻击方法，以人工渗透为主，使用攻击工具为辅助，以保证整个渗透测试过程都在可以控制和调整的范围之内，同时确保对网络没有造成破坏性的损害。
4.2 确保系统完整性：由于采用可控制的、非破坏性质的渗透测试，因此不会对被评估的客户信息系统造成严重的影响。在渗透测试结束后，客户信息系统将基本保持一致。 【五】服务流程
1
2
3
4
|
京公网安备 11011202000939号
在线咨询
010-57298809