网盾科技IT教育,只培训技术精英
全国免费咨询电话: 15827351614
Web应用渗透测试的步骤、方法与工具

众所周知,在应用设计中的某个简单的缺陷、配置上的错误、以及网络钓鱼攻击,都可能给Web服务器造成巨大的损失。有统计显示,全球有75%的IT领导者,对其Web应用的安全性缺乏信心。因此近年来,Web应用的安全性已逐渐成为了各种规模的企业的日常关注与防范重点。

从目的上说,Web应用安全旨在:保护Web网站、应用、以及服务,免受那些针对应用级源代码弱点的、各种新增或既有的安全性威胁。下面,我将和您讨论和总结,在执行Web应用的渗透测试过程中,常用的步骤、方法与工具。

什么是Web应用渗透测试?

在组织内部、本地或云端的各类Web服务器,往往会持续面临着各种恶意源的攻击。为了降低此类风险,网络安全专家需要通过模拟针对Web应用、网站或服务的一系列攻击方式,以发现能够被网络攻击者轻易利用的各种漏洞,识别出潜在的威胁,以及掌握组织整体应用的安全态势。这个过程便是Web应用渗透测试。

了解渗透测试的核心步骤

Web应用安全性测试的关键步骤包括:

预备动作

确定被测组织的业务范围、目标、以及安全态势是至关重要的。测试人员需要在此阶段识别出,目标组织正在使用的虚拟资产和实物资产。据此,测试人员需要判断出将要对目标系统采取:黑盒测试、白盒测试、还是灰盒测试。

情报收集

此步骤对于分析Web应用的设置是至关重要的。我们通常分为被动和主动两个收集阶段。其中:

  • 在被动阶段,测试人员主要收集那些可以在互联网上被轻松获得的信息,而无需直接与应用进行交互。例如,使用Google语法('site:*.domain.com'),来识别应用的子域,或使用Wayback Machine(译者注:自1996年以来,该站点持续给整个互联网做备份,累计完成了1500亿个网页),来检查网站的存档版本。

  • 在主动阶段,测试人员对目标系统进行探测,以提取可供进一步分析的实用信息。例如,对Web应用进行“指纹识别”,以发现所用到的技术版本,进而执行DNS查找,时区转换,触发错误页面,以及检查源代码等操作。

漏洞扫描与分析

在了解了系统内部的关键控制点之后,测试人员可以开始仔细检查那些可用来攻击的向量,以确定组织的重要信息是否存在着潜在风险。在这个阶段,他们通常会使用Zed Attack Proxy(ZAP)、Burp Suite Pro、以及Acunetix等工具,对目标应用的漏洞进行扫描,以识别安全漏洞,并了解应用是如何响应各种入侵尝试的。

利用阶段

有了前面收集到的各种详尽数据,以及对在扫描阶段发现漏洞的深入分析,测试人员选用各种可利用的技术和方法,实施渗透“攻击”。例如:使用SQL注入可以获得对于数据库的未授权访问权限;使用蛮力工具可以直接跳过授权机制;将恶意脚本上传至应用服务器,进而获取命令行Shell的访问权限等。

整理威胁并制定补救措施

根据渗透的效果,测试人员总结并评估已开展的测试,对已发现的威胁和风险进行严重性排序,形成有针对性的补救建议,并最终生成完整的深度报告。而在组织的IT团队修复了错误,并消除了漏洞之后,测试人员立即开展新的一轮渗透测试。

如果您想深入探究上述流程的话,请参阅:《5种Web应用安全威胁与7种防范措施》一文。

四种通过渗透测试识别威胁的常用方法

通常,合格的Web安全渗透专家会用到如下四种安全测试方法:

1. OWASP(开放式Web应用安全项目)

OWASP是一个致力于通过从高到低列举十大威胁,来增强软件系统安全性的实体。它汇集了来自全球各地的技术专家,他们不断分享着有关威胁和攻击的各种洞见。而OWASP Top10(十大漏洞)则是一套定期更新的知名文档。它突出展示了Web应用可能面临的10大最关键的威胁。其中包括:注入、失效的身份认证、敏感信息的泄漏、XML外部实体(XXE),访问控制的破坏,安全配置的错误,跨站脚本XSS,不安全的反序列化,使用具有已知漏洞的组件,以及日志记录和监控的不到位。

2. PCI DSS(支付卡行业数据安全标准)

作为一组合同义务,PCI DSS旨在确保所有处理、存储或传输信用卡信息的组织,都能够维护一个安全的环境。它在全球范围内,被视为一种黄金标准,可被用来确保组织内各种付款类相关信息的安全性。

该标准不但提升了客户的信任度,而且有助于防止那些轻度违规事件,所导致的敏感信息的丢失。毕竟这些对于支付场景而言,都是至关重要的。

3. OSSTMM(开源安全测试方法)

作为一个开源的安全测试手册,OSSTMM每六个月会定期更新一次,以反映最新的网络威胁。它旨在通过一个系统性的、科学的过程,协助用户获取可靠的渗透测试报告,分析各种漏洞,红队行为,以及其他安全类活动。

OSSTMM所包含的测试范围包括:人员安全、物理安全、无线安全、电信安全、以及数据网络安全等测试。它能够无缝地与您当前用到的各种安全测试协议相连接​。

4. ISSAF(信息系统安全评估框架)

ISSAF旨在评估系统、应用控制和网络的安全性。它是由一个结构化的九步走组成。其中包括:收集信息,映射网络,识别漏洞,渗透,获取基本访问权限,提权,维持访问权限,破坏远程用户与站点,隐藏测试者的数字“足迹”。

客观而言,此类渗透测试与其他常用方法相比,略显复杂。如果您想深入探究上述方法的话,请参阅:《流行的渗透测试工具》一文。

可用于有效分析的七种渗透测试工具

目前,大多数渗透测试工具都属于自动化范畴。当然,其中也有部分工具需要测试人员手动触发和执行。而在实际应用场景中,我们往往需要将手动和自动化测试技术相结合。下面让我们来看一些最常用到的工具。

1. Zed攻击代理(ZAP)

ZAP是由OWASP维护的、最流行且最常用的开源式Web应用扫描程序之一。它实质上是通过“中间人代理”的方式,实现漏洞检测。也就是说,ZAP在逻辑上位于渗透测试人员的浏览器和目标Web应用之间,对于浏览器与Web应用间的往来消息,进行拦截,检查和修改。

2. Burp Suite Pro

作为最流行的渗透测试工具包之一,Burp Suite通常被用于识别Web应用的各种安全性漏洞。同样作为基于代理的工具,它能够拦截浏览器与任何目标应用之间的通信。

目前,该工具带有各种实用且强大的功能,其中包括:针对特定请求而生成的概念验证(proof-of-concept)式CSRF攻击,带有大量漏洞签名库的扫描程序,具有功能内容与潜在威胁自动化发现等功能。

3. Veracode

作为一款功能强大的静态分析工具,Veracode可以让您快速地识别和修复应用中的安全漏洞。同时,该工具能够在无需源代码的情况下,分析出应用的主要安全框架和编程语言。

在实际应用中,它可以通过集成到您的软件开发生命周期中,方便开发团队编写出安全的代码,并且评估Web、移动、以及后端应用的安全性。

4. SQLMap

作为被广泛使用的开源工具之一,SQLMap可以被用于识别和利用数据库的相关漏洞(例如SQL注入),以及对数据库服务器实施接管。目前,该工具主要支持诸如:MySQL、MSSQL、MongoDB、Oracle、以及PostgreSQL等DBMS(数据库管理系统)。

5.Vega

Vega是另一款开源的Web应用漏洞扫描工具。它可以帮助您快速地发现和验证诸如XSS(跨站点脚本攻击)、SQL注入、以及其他可能让Web应用暴露在风险之中的关键性漏洞。作为一款由Java编写的、基于GUI的工具,Vega能够支持诸如:Linux、Windows和OS X等主流操作系统。

6. Arachni

Arachni能够通过对Web应用执行安全性测试,以识别,分类,分析和记录各种安全性问题。与其他扫描工具不同的是,Arachni考虑到了Web应用的动态性。它可以检测在复杂性路径中,由漂移(drifting)引发的变化,并据此作出相应的调整。因此,它是渗透测试人员和管理员的理想选择。

7. Dirb

作为针对Web内容的实用扫描工具,Dirb通过对Web服务器发起基于字典的攻击、或蛮力攻击,来识别应用中现有或隐藏的Web目录。同时,Dirb属于命令行类型的实用程序。它可以提供专业的Web应用审核,进而保障组织在Web应用中敏感数据的安全性。