在對客戶網站以及APP進行滲透測試服務前,很重要的前期工作就是對網站,APP的信息進行全面的收集,知彼知己,才能更好的去滲透,前段時間我們SINE安全公司收到某金融客戶的委托,對其旗下的網站,以及APP進行安全滲透,整個前期的信息收集過程,我們將通過文章的形式分享給大家。
不管是安全工程師還是白貓,在滲透測試過程中都很清楚,信息收集的重要性,我們SINE安全將以我們的角度去收集,去滲透,首先我們要搞明白為什么第一步必須要去做信息收集的工作,因為只有真正的了解了客戶,才能做到知彼知己百戰(zhàn)不殆,攻與防就是一個你我較量的過程,道高一尺魔高一丈,越了解彼此才能更好的融入到滲透測試中。
客戶提出要求要找到目前網站,APP存在的漏洞,那么我們就得對客戶的網站開發(fā)語言,以及數(shù)據(jù)庫類型,服務器IP,等各個方面進行全面的信息收集,掌握到的信息越多,漏洞點也會越多,找到他最薄弱的環(huán)節(jié),將其打通,就會找到其他的漏洞。對于搜集來的信息,我們可以劃分3大類,第一個就是直接可以用的信息,第二個就是間接可以用的信息,第三個就是將來可以用的信息,那這3個類如何理解?將來可以用的信息簡單來講就是新版網站開發(fā)上線前,在官方網站進行了公布,說某某平臺下個月將啟用新版,那么我們可以獲取到的信息是,有可能該網站的新版沒有進行滲透測試,就上線了,安全風險系數(shù)很高,漏洞存在率也很高。直接可以用的信息,通俗的說就是網站存在漏洞,比如SQL注入漏洞,遠程代碼執(zhí)行漏洞,邏輯越權漏洞,短信驗證碼盜刷漏洞等等。間接可以用的信息,就是我們經常遇到的,網站的后臺地址,以及文件上傳的地址,或者是主域名下的二級域名存在網站,我們SINE安全統(tǒng)稱為間接可以用的信息。
那我們SINE安全在實際的滲透測試服務中,針對金融客戶的信息收集主要是從下面一些方面進行:
網址域名的信息搜集,查看域名的注冊信息,以及域名的注冊郵箱,聯(lián)系人信息,再一個通過SSL證書查看域名的信息,查看網站的JS文件是否包含其他的二級域名信息,以及網站的后臺地址信息,對APK文件進行反編譯查看源代碼是否含有其他域名的接口信息,子域名的搜集利用搜索引擎查看收錄的情況,是否含有子域名,使用域名的暴力猜解工具進行掃描。
網站服務器的信息搜集,查看網站是否隱藏真實IP,啟用CDN,如果隱藏了真實IP,通過注冊會員,郵箱發(fā)送這里查看真實IP,以及如果有二級域名,可以PING下二級域名的服務器IP地址,使用PING工具,國內推薦ping.chinaz.com可以在全國各個節(jié)點進行查詢網站的所屬IP。 也可以通過nslookup進行國外的DNS查詢,因為國內CDN只針對國外的IP進行解析。
服務器使用的是windows系統(tǒng)還是linux系統(tǒng)搜集,系統(tǒng)版本號也可以通過工具掃描出來,kali系統(tǒng),對服務器的端口開放情況進行全面的安全檢測,服務器是否存在漏洞,包括redis未經授權訪問漏洞等等,通過端口開放情況,來查看服務器運行了那些服務,以及安裝的軟件。
網站代碼的搜集,查看網站的JS文件是否存在開源系統(tǒng)的痕跡,也可以通過人工搜索特征碼來確定使用的CMS系統(tǒng),網站開發(fā)語言,數(shù)據(jù)庫類型,再檢測一下網站是否存在網站防火墻,網站后臺地址搜集。
以上就是我們SINE安全在前期滲透測試中需要搜集的一些信息,這項工作真的很重要,搜集的信息越多,我們越有把握找到網站存在的漏洞,所以很多客戶在網站,APP上線之前一定要做全面的安全測試,以及漏洞的掃描,有些客戶覺得沒什么,等網站,APP用戶上規(guī)模后,出現(xiàn)一次漏洞導致的經濟損失就特別嚴重,發(fā)展受阻,因為體積大了,要改很麻煩。如果您對滲透測試不是太懂的話,可以找專業(yè)的滲透測試公司來幫您處理,國內SINESAFE,啟明星辰,綠盟都是比較不錯的,網絡安全有你有我也有他,要有安全意識,也要有防范意識,雙重互補才能使網站走的更遠。
我們專注高端建站,小程序開發(fā)、軟件系統(tǒng)定制開發(fā)、BUG修復、物聯(lián)網開發(fā)、各類API接口對接開發(fā)等。十余年開發(fā)經驗,每一個項目承諾做到滿意為止,多一次對比,一定讓您多一份收獲!