江苏龙网

  1. 主页 > 生活百科 > >

Web应用渗透测试的步骤、方法与工具( 二 )

渗透测试


2. PCI DSS(支付卡行业数据安全标准)作为一组合同义务 ， PCI DSS旨在确保所有处理、存储或传输信用卡信息的组织 ， 都能够维护一个安全的环境 。它在全球范围内 ， 被视为一种黄金标准 ， 可被用来确保组织内各种付款类相关信息的安全性 。
该标准不但提升了客户的信任度 ， 而且有助于防止那些轻度违规事件 ， 所导致的敏感信息的丢失 。毕竟这些对于支付场景而言 ， 都是至关重要的 。
3. OSSTMM(开源安全测试方法)作为一个开源的安全测试手册 ， OSSTMM每六个月会定期更新一次 ， 以反映最新的网络威胁 。它旨在通过一个系统性的、科学的过程 ， 协助用户获取可靠的渗透测试报告 ， 分析各种漏洞 ， 红队行为 ， 以及其他安全类活动 。
OSSTMM所包含的测试范围包括：人员安全、物理安全、无线安全、电信安全、以及数据网络安全等测试 。它能够无缝地与您当前用到的各种安全测试协议相连接? 。
4. ISSAF(信息系统安全评估框架)ISSAF旨在评估系统、应用控制和网络的安全性 。它是由一个结构化的九步走组成 。其中包括：收集信息 ， 映射网络 ， 识别漏洞 ， 渗透 ， 获取基本访问权限 ， 提权 ， 维持访问权限 ， 破坏远程用户与站点 ， 隐藏测试者的数字“足迹” 。
客观而言 ， 此类渗透测试与其他常用方法相比 ， 略显复杂 。如果您想深入探究上述方法的话 ， 请参阅：《流行的渗透测试工具》一文 。
可用于有效分析的七种渗透测试工具目前 ， 大多数渗透测试工具都属于自动化范畴 。当然 ， 其中也有部分工具需要测试人员手动触发和执行 。而在实际应用场景中 ， 我们往往需要将手动和自动化测试技术相结合 。下面让我们来看一些最常用到的工具 。
1. Zed攻击代理(ZAP)ZAP是由OWASP维护的、最流行且最常用的开源式Web应用扫描程序之一 。它实质上是通过“中间人代理”的方式 ， 实现漏洞检测 。也就是说 ， ZAP在逻辑上位于渗透测试人员的浏览器和目标Web应用之间 ， 对于浏览器与Web应用间的往来消息 ， 进行拦截 ， 检查和修改 。
2. Burp Suite Pro作为最流行的渗透测试工具包之一 ， Burp Suite通常被用于识别Web应用的各种安全性漏洞 。同样作为基于代理的工具 ， 它能够拦截浏览器与任何目标应用之间的通信 。
目前 ， 该工具带有各种实用且强大的功能 ， 其中包括：针对特定请求而生成的概念验证(proof-of-concept)式CSRF攻击 ， 带有大量漏洞签名库的扫描程序 ， 具有功能内容与潜在威胁自动化发现等功能 。
3. Veracode作为一款功能强大的静态分析工具 ， Veracode可以让您快速地识别和修复应用中的安全漏洞 。同时 ， 该工具能够在无需源代码的情况下 ， 分析出应用的主要安全框架和编程语言 。
在实际应用中 ， 它可以通过集成到您的软件开发生命周期中 ， 方便开发团队编写出安全的代码 ， 并且评估Web、移动、以及后端应用的安全性 。
4. SQLMap作为被广泛使用的开源工具之一 ， SQLMap可以被用于识别和利用数据库的相关漏洞(例如SQL注入) ， 以及对数据库服务器实施接管 。目前 ， 该工具主要支持诸如：MySQL、MSSQL、MongoDB、Oracle、以及PostgreSQL等DBMS(数据库管理系统) 。
5.VegaVega是另一款开源的Web应用漏洞扫描工具 。它可以帮助您快速地发现和验证诸如XSS(跨站点脚本攻击)、SQL注入、以及其他可能让Web应用暴露在风险之中的关键性漏洞 。作为一款由JAVA编写的、基于GUI的工具 ， Vega能够支持诸如：linux、windows和OS X等主流操作系统 。
6. ArachniArachni能够通过对Web应用执行安全性测试 ， 以识别 ， 分类 ， 分析和记录各种安全性问题 。与其他扫描工具不同的是 ， Arachni考虑到了Web应用的动态性 。它可以检测在复杂性路径中 ， 由漂移(drifting)引发的变化 ， 并据此作出相应的调整 。因此 ， 它是渗透测试人员和管理员的理想选择 。
7. Dirb作为针对Web内容的实用扫描工具 ， Dirb通过对Web服务器发起基于字典的攻击、或蛮力攻击 ， 来识别应用中现有或隐藏的Web目录 。同时 ， Dirb属于命令行类型的实用程序 。它可以提供专业的Web应用审核 ， 进而保障组织在Web应用中敏感数据的安全性 。


推荐阅读


上一篇：薄荷有不能食用的吗,哪些人不能吃薄荷

下一篇：玫瑰花和什么起泡最好,干玫瑰花和什么起泡好和苹果花绿茶等都不错哦