测试项 |
测试内容 |
应用安全 |
XSS（跨站脚本攻击） |
跨站攻击，即Cross Site Script Execution(通常简写为XSS)是指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的HTML代码，从而盗取用 户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。
安全隐患，攻击者可利用XSS漏洞获取用户cookie,传播蠕虫，篡改页面或进行钓鱼等。 |
CSRF（伪造跨站请求） |
CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
该漏洞可以在用户登录完成后的会话里，让用户执行不知情的操作。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账...... |
Sql Injection（SQL注入漏洞） |
SQL注射是由于程序中对使用到的sql没有做到数据和结构分离导致程序的sql能被恶意用户控制，从而引发的数据库信息泄漏，修改，服务器被入侵等一系列严重后果。
数据库信息泄露或被修改，还有可能威胁服务器的安全。 |
Information Leakage (服务器信息泄露) |
可能会泄露一些敏感信息，被攻击者利用。 |
Management Console Disclosure (管理后台泄露) |
应用的后台系统泄露在外面，任何用户都可以随意访问到。可能会遭到攻击者的暴力破解或利用bypass漏洞，进入应用后台，进行非法操作。 |
Trojan(挂马) |
挂马是恶意攻击者通过各种手段篡改页面，种植恶意代码，最终导致网站用户机器被中木马进而引起用户各种资损并间接导致网站资损的恶性攻击行为。
应用程序已经被攻击者破坏，同时来危及来访的用户电脑安全。 |
Improper Error Handling (异常错误处理) |
程序运行时产生的异常没有处理，导致应用/服务器的状态信息显示在默认的错误页面上。
异常信息的不正确处理，可能会导致一些未知的问题。 |
Code Injection（代码注入） |
代码注入是指由于服务端代码漏洞导致恶意用户输入在服务端被执行的一种高危安全漏洞；
利用该漏洞，可以在服务器上执行攻击者拼装的代码。 |
OS Commanding Injection |
系统命令执行是指应用程序对传入命令行的参数过滤不严导致恶意用户能控制最终执行的命令，进而入侵系统，导致严重破坏的高危漏洞。
利用这个漏洞攻击着可以执行服务器上的命令。 |
Path Traversal(目录遍历) |
目录遍历指的是应用程序对文件路径没有检查导致服务器上的敏感文件/代码泄漏。
可能会导致源代码等敏感信息泄露。
|
Directory Indexing(目录泄露) |
应用服务器配置不当，导致应用服务器的目录列表被展示。
可能会导致敏感信息或源代码泄露。 |
Unvalidated Redirects and Forwards (跳转) |
某些页面由于功能需要需要进行页面跳转，如果没有对跳转的目的页面做检查就会导致被利用做为恶意URL的访问渠道。
攻击着可以利用这个漏洞进行跳转钓鱼。 |
Weak Application (危险程序,如jmx,phpinfo) |
应用服务器配置不当，如存在jboss的jmx-console,php的phinfo等。
可能导致服务器被攻击或服务器敏感信息泄露。 |
Remote file inclusion(远程文件包含) |
远程文件包含是指程序代码在处理包含文件的时候没有严格控制。导致用户可以构造参数包含远程代码在服务器上执行，进而获取到服务器权限，造成网站被恶意删除，用户和交易数据被篡改等一系列恶性后果。
攻击着可以利用该漏洞，在服务器上执行命令。 |
CRLF Injection |
PHP有一些函数用文件名（如：fopen(), file()等）作为它们的参数。如果在php.ini中allow_url_fopen被设置为打开的，这些函数也允许以接受URL来替代接收文件，并且用正确的协议连接到服务器。那么这些函数将很容易遭到 CRLF Injection 攻击。
攻击着可以利用该漏洞在http请求注入恶意代码。 |
身份鉴别 |
a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；
b)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；
c)应启用身份鉴别和登录失败处理功能，并根据安全策略配置相关参数。 |
访问控制 |
a)应提供访问控制功能控制用户组/用户对系统功能和用户数据的访问；
b)应由授权主体配置访问控制策略，并严格限制默认用户的访问权限。 |
通信完整性 |
应采用校验码技术保证通信过程中数据的完整性。 |
通信保密性 |
a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；
b)应对通信过程中的敏感信息字段进行加密。 |
安全审计 |
a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；
b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；
c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；
d)应能够根据记录数据进行分析，并生成审计报表；
e)应保护审计进程，避免受到未预期的中断；
f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。 |
剩余信息保护 |
a)应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；
b)应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。 |
抗抵赖 |
a)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；
b)应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。 |
软件容错 |
a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；
b)应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。 |
资源控制 |
a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；
b)应能够对系统的最大并发会话连接数进行限制；
c)应能够对单个帐户的多重并发会话进行限制；
d)应能够对一个时间段内可能的并发会话连接数进行限制；
e)应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；
f)应能够对系统服务水平降低到预先规定的最小值进行检测和报警；
g)应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。 |
渗透测试 |
信息收集、用户（特别是管理员用户、超级管理员用户）口令破解、程序中存在密码硬编码、溢出测试、拒绝服务攻击、系统资源无法释放、信任边界模糊、Cookie利用、后门程序检查、文件上传等内容。 |
代码安全 |
检查网站各个界面及系统异常后提供的信息是否存在源代码暴露 |
数据完整性 |
a)应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；
b)应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。 |
数据保密性 |
a)应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；
b)应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。 |
备份和恢复 |
a)应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；
b)应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；
c)应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；
d)应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。 |
主机安全 |
漏洞扫描 |
对系统所在的网络设备、服务器、终端机、安全产品、端口，采用自动化工具进行漏洞扫描，发现系统中存在的安全漏洞，分析安全漏洞对系统的威胁和可能造成的风险，为信息系统安全整改和加固提供指导。 |
