Allion Labs/ Jackson Chen
漏洞檢測，您到位了嗎？
APP開發(fā)過程中，信息資產(chǎn)與風險管理，是相當重要的一環(huán)，但其實很多公司都沒有專業(yè)的測試人員，出于利潤，大部分公司把時間和金錢都用在對APP的開發(fā)上，缺少了完整的測試檢測環(huán)節(jié)，從而導致APP上線后問題不斷，目前常見的使用平臺為Kali Linux，其中包含多種類型工具供用戶使用，但我們也不局限于此平臺，仍可使用其他工具使測試更加完整。
| 工具 | 功能 |
| Kali Linux | 針對網(wǎng)頁與APP進行信息收集、
模擬漏洞攻擊和漏洞分析 |
| ApacheBench | 網(wǎng)頁與APP壓力測試 |
| Nessus | 針對系統(tǒng)進行漏洞分析 |
表一：測試工具及功能
測試平臺
圖一：Kali Linux
系統(tǒng)自帶工具集Kali Linux系統(tǒng)最頂層是十四種安全工具分類，每一個分類有不同的測試工具，以下介紹其中三種類型，分別為信息收集、壓力測試、漏洞分析。
圖二：Kali Linux十四種安全工具分類
1. 信息收集
在滲透測試中，我們需要盡可能收集多一些目標的信息，因為資產(chǎn)探測和信息收集決定了你發(fā)現(xiàn)安全漏洞的機率有多大。如何最大化的去收集目標范圍，盡可能的收集到子域名及相關域名的信息，這對我們下一步的漏洞測試顯得尤為重要，以下介紹信息收集的實際用例。
I.需要知道的信息有:
-需要破解的主機名或是IP和URL
-區(qū)分是https & http
-登入成功和失敗時返回信息的區(qū)別
II. 使用工具
-Kali Linux 中信息收集的dnsenum，和密碼攻擊中的Hydra
III. 操作步驟
-先使用dnsenum得到目標的IP地址
圖三：獲取目標IP地址
Hydra的指令
Hydra –l 用戶名 –p密碼字典 –t線程-vV –ip ssh
圖四：獲取賬號及密碼
IV. 解決方法
A.動態(tài)登入
需限制登入時間以及登入賬號的次數(shù)，例如: 短信內(nèi)標注有效時長為5min，實際有效時長卻約為30min，對獲取動態(tài)密碼次數(shù)做了限制，但未對密碼暴力破解做任何防護，防止暴力破解密碼的方式。
B. 靜態(tài)登入
需要使用Session去認證登入者的身份，通常在用戶完成身份認證后，存下用戶數(shù)據(jù)，接著產(chǎn)生一組對應的id，這個id必須為獨特的，所以會使用uuid的機制處理。
C.雙重驗證
現(xiàn)在也有使用雙重認證的方式去保護使用者的賬戶安全，像是登入Google賬戶，就可以設定登入之后，Google會發(fā)送一條短信，其中有另外的登入密碼，也可選擇語音的方式得知登入密碼，更加保護了帳戶安全
D.禁止密碼輸入頻率過高的請求
當同一來源的密碼輸入出錯次數(shù)超過一定的值，立即通過郵件或者短信等方式通知系統(tǒng)管理員
2.壓力測試
壓力測試在大型系統(tǒng)的設計和開發(fā)中非常重要，壓力測試可以幫助我們發(fā)現(xiàn)系統(tǒng)的性能且評估系統(tǒng)能力，且進行針對性的性能優(yōu)化，也可以幫助我們驗證系統(tǒng)的穩(wěn)定性和可靠性。除了Kali Linux以外，還有以下常見工具:
圖五：ApacheBench
ApacheBench的測試，可以輕易的模擬 1,000以上 使用者的同時聯(lián)機(concurrent users) 測試，輸出的測試結果也相當清楚。并且不局限于linux操作系統(tǒng)，可以在Windows上安裝，以下為壓力測試實際用例:
I.使用工具
-ApacheBench
II.操作步驟
-先到Apache的文件夾位置，執(zhí)行ab.exe，語法為ab –n 100 –c 10 {url}
行ab.exe_.png)
圖六：壓力測試執(zhí)行ab.exe
得到測試結果
圖七：壓力測試測試結果
字段講解如下:
Server Software: WEB主機的操作系統(tǒng)與版本(若web主機設定關閉此信息則無)
Server Hostname: WEB主機的IP地址(Hostname)
Server Port: WEB主機的連接阜(Port)
Document Path:測試網(wǎng)址的路徑部分
Document Length:測試網(wǎng)頁響應的網(wǎng)頁大小
Concurrency Level:同時進行壓力測試的人數(shù)
Time taken for tests:本次壓力測試所花費的秒數(shù)
Complete requests:完成的要求數(shù)(Requests)
Failed requests:失敗的要求數(shù)(Requests)
Write errors:寫入失敗的數(shù)量
Total transferred:本次壓力測試的總數(shù)據(jù)傳輸量(包括HTTP Header的數(shù)據(jù)也計算在內(nèi))
HTML transferred:本次壓力測試的總數(shù)據(jù)傳輸量(僅計算回傳HTML的數(shù)據(jù))
Requests per second:平均每秒可響應多少要求
Time per request:平均每個要求所花費的時間(單位:毫秒)
Time per request:平均每個要求所花費的時間，跨所有同時聯(lián)機數(shù)的平均值(單位:毫秒)
Transfer rate:從ab到Web Server之間的網(wǎng)絡傳輸速度
3.漏洞分析
漏洞分析是指在代碼中迅速定位漏洞，弄清攻擊原理，準確地估計潛在的漏洞利用方式和風險等級的過程。我們將使用Nessus這項工具，這套工具能夠幫助系統(tǒng)管理者搜尋系統(tǒng)主機的漏洞所在，用戶可自行撰寫攻擊測試程序，且讓系統(tǒng)管理者對系統(tǒng)主機進行錯誤的更正和防護，以避免被入侵者攻擊，以下為弱點掃描流程
圖八：弱點掃描流程
I. 使用工具
-Nessus
II.操作步驟
圖九：Nessus開始界面
Nessus基本流程為（1）登錄，（2）創(chuàng)建或配置策略，（3）運行掃描，（4）分析結果，根據(jù)掃描要求，選擇配置策略，也就是可以在目標上執(zhí)行的漏洞測試，Nessus提供的掃描模板。
圖十：Nessus掃描模板
建立策略
名稱為Local Vulnerability Assessment
目標為本機地址: 192.168.18.149
圖十一：Nessus建立策略
啟動屏幕
圖十二：Nessus啟動屏幕
星導航系統(tǒng)檢測實驗室-1024x659.jpg)
圖十三：掃描結果
點選本機的漏洞情況，可以查看詳細漏洞信息，并且會提供解決方法
圖十四：漏洞情況
漏洞描述為:遠程主機受遠程桌面協(xié)議(RDP)中的遠程執(zhí)行代碼漏洞影響。未經(jīng)身份驗證的遠程攻擊者可以通過一系列特制請求來利用此漏洞來執(zhí)行任意的代碼，也可匯出一份PDF檔，提供解決方法
安全風險一站式測試方案
針對信息安全、網(wǎng)頁和APP，可提供以下測試方案:
- 資料安全檢查
檢視內(nèi)部作業(yè)提供改善建議，提升資料安全防護能力
- 漏洞偵測分析
WEB主機或系統(tǒng)做安全掃描，提供結果并協(xié)助修正
- 壓力測試
WEB壓力測試，在同一時間能有多少人在在線，檢視WEB的負載能力
測試常見問題，一對一解析
- 滲透測試有標準流程嗎?
有的，請參考下列三個由幾個開源組織制定的滲透測試標準流程
OWASP ( Open Web Application Security Project )
OSSTMM (Open Source Security Testing Methodology Manual)
PTES ( Penetration Testing Execution Standard )
- 滲透測試執(zhí)行完畢后就完全沒有問題了嗎?
由于黑客攻擊手法層出不窮，即使系統(tǒng)不進行任何更動，也難以保證未來不會被新的方式入侵，因此仍建議客戶定期執(zhí)行測試。
- 滲透測試與弱點掃描的差異?
滲透測試是以人工方式模擬黑客的思維，針對系統(tǒng)做攻擊測試，比較考驗測試人員本身的經(jīng)驗以及知識，弱點掃描則是使用自動化工具對系統(tǒng)進行檢測，找出所有已知的風險。
百佳泰安全風險檢測服務阻擋虛擬世界的威脅
在虛擬世界中，安全漏洞風險無處不在，百佳泰能夠模擬黑客攻擊的手段對各類系統(tǒng)進行安全檢測，并評估其風險，提供解決方案。在產(chǎn)品、APP及網(wǎng)頁上市前，針對其使用特性及用戶情景，提出客制化的安全風險檢測，透過全面性、多樣性的測試方式及測試手法，替您的產(chǎn)品、APP及網(wǎng)頁做資安把關。除此之外，百佳泰亦有針對物聯(lián)網(wǎng)裝置的檢測服務，可點閱：物聯(lián)網(wǎng)無線應用之安全風險：您的智能裝置真的安全嗎？（可點擊：物聯(lián)網(wǎng)無線應用之安全風險：您的智能裝置真的安全嗎？）避免裝置被破解，導致數(shù)據(jù)被竊取等隱患問題。