010-57298809

渗透测试服务

[一] 服务概述

渗透测试(Penetration Test,PT)是完全模拟黑客可能使用的攻击技术和漏洞发现技术,对目标系统的安全做深入的探测,发现系统最脆弱的环节。渗透测试和黑客入侵最大区别在于渗透测试是经过客户授权,采用可控制、非破坏性质的方法和手段发现目标和网络设备中存在弱点,帮助管理者知道自己网络所面临的问题。

[二] 服务内容

2.1 信息收集:利用公开域查询、扫描、嗅探以及社会工程学等手段收集系统大量信息,从中提取有用信息。通过对网络信息收集分析,可以相应地、有针对性地制定模拟黑客入侵攻击的计划,以提高入侵的成功率。
2.2 端口扫描:通过对目标地址的 TCP/UDP 端口扫描,确定其开放的服务数量和类型。通过端口扫描,可以基本确定一个系统的基本信息,并且结合测试人员的经验可以确定其可能存在,以及被利用的安全弱点,为进行深层次的渗透提供依据。
2.3 权限提升:通过获取本地权限,收集本地资料信息,寻求本地权限升级的机会。通过对信息收集分析、权限升级的结果输出整个渗透测试过程。
2.4 应用测试:1、检查应用系统架构,防止用户绕过系统直接修改数据库;2、检查身份认证模块,防止非法用户绕过身份认证;3、检查数据库接口模块,防止用户获取系统权限;4、检查文件接口模块,防止用户获取系统文件;5、检查其他安全威胁。
2.5 不同网段/Vlan之间的渗透:这种渗透方式是从某内/外部网段,尝试对另一网段/Vlan 进行渗透。
2.6 检测页面隐藏字段:网站应用系统常采用隐藏字段存储信息,有不良居心的用户通过操作隐藏字段内容,进行恶意交易和窃取信息等行为,是一种非常危险的漏洞。
2.7 后门程序:检查系统开发过程中遗留的后门和调试选项可能被入侵者所利用,导致入侵者轻易地从捷径实施攻击。
2.8 代码审查:对受测业务系统站点进行安全代码审查,识别出会导致安全问题和事故的不安全编码技术和漏洞。
2.9 其他测试:在渗透测试中还需要借助暴力破解、网络嗅探等其他方法,来尝试获取用户名及密码。

【三】服务对象

|企业网站|电商平台 |政务外网| 网页应用 | 微信服务号 | 微信小程序 | 工控安全测试

【四】服务方式

4.1 人工模拟测试:测试人员模拟真正的入侵者入侵攻击方法,以人工渗透为主,使用攻击工具为辅助,以保证整个渗透测试过程都在可以控制和调整的范围之内,同时确保对网络没有造成破坏性的损害。
4.2 确保系统完整性:由于采用可控制的、非破坏性质的渗透测试,因此不会对被评估的客户信息系统造成严重的影响。在渗透测试结束后,客户信息系统将基本保持一致。

【五】服务流程

1

确定范围

通过对测试范围进行精确分析,从而制定出有针对性地模拟攻击计划。

2

制定方案

基于不同场景下的安全诉求,您可以针对应用的风险状况选择测试级别。

3

实施项目

对暴露在互联网的业务系统、WEB应用、网络和操作系统进行渗透测试。

4

交付结果

输出渗透测试报告,内容包括测试过程、风险状况、漏洞详情、修复建议等。

 


技术支持:悟安 Copyright © 2014-2020 北京旗云天下科技有限公司 版权所有 京公网安备 11011202000939号 京ICP备17058884号