安全滲透測(cè)試技術(shù)白皮書

4.1.4.1.實(shí)踐操作過(guò)程 16第#頁(yè)共29頁(yè)對(duì).NET的檢測(cè)項(xiàng)目包括:-回國(guó)皿TE,NETBuidOutputFh,ML1C#PioiedtFile0」川ETaScunaCudH0INETEmoeddcdKuilCr^ssSiteScripting.NETProjectFile(.vbpro])[7| .METRecourseFilas0 -NETResourceFibsMNFT^nliji-jnnFHaFvin回?.NETVSProjectFieSearchM■NF"WimeC*ASP,MTA^plcatwr LoqCopyOfWtebconfig[3"Mia'osof：A5-.hCTURICarionicai：-ifcwrRenotekHmatwoD曲m」eVunerabilty回iVyiph.rnriFigI刈出匸onhq嚴(yán)bkrvycb.CoririgA^ebJ.orifeg.i：□I刈亡b.Gri何用□汕b.Corifig.ircI 眈口1^ebXorifig.ti^cM^eb.Corifig.ESAK0M祗.Caifwj.b^QM^bXorfiq.OLDWvb.CDnflfj^dd[""II^eh.CotiFtg.oldM%MonNg?oH2別mh.「nrihg占*□形^ebrConfiq.53^9TWeh.CnrFig.TFMPWeb.ConFjQ.tenip&^ebZonfrj.W門I^eb.CoriFpq.tmp口1^h-Corifig.txh***^eb+CotiFiq5.4對(duì)web及其它B/S或C/S應(yīng)用進(jìn)行分析5.4.1檢查應(yīng)用系統(tǒng)架構(gòu)、防止用戶繞過(guò)系統(tǒng)直接修改數(shù)據(jù)庫(kù)-檢查系統(tǒng)是否采用3層架構(gòu)？-檢查用戶是否可以直接登錄數(shù)據(jù)庫(kù)？-檢查數(shù)據(jù)庫(kù)是否對(duì)中間件進(jìn)行驗(yàn)證和限制?5.4.2檢查身份認(rèn)證模塊，防止非法用戶繞過(guò)身份認(rèn)證-測(cè)試登錄驗(yàn)證頁(yè)面，檢查身份認(rèn)證方式？-檢查驗(yàn)證是客戶端驗(yàn)證還是服務(wù)器端驗(yàn)證？-測(cè)試登錄后頁(yè)面，檢查是否所有頁(yè)面都需要身份驗(yàn)證？-檢查客戶端Cookie和Session，是否存放敏感信息？檢查系統(tǒng)是否可以被暴利破解，是否有多次登錄失敗鎖定機(jī)制？檢查服務(wù)器，查看是否有錯(cuò)誤登錄日志？檢查應(yīng)用程序是否有多級(jí)權(quán)限，不同權(quán)限的判別是在服務(wù)器端還是客戶端？權(quán)限標(biāo)志是在session還是cookie中，檢查是否可以繞過(guò)權(quán)限設(shè)置？檢查系統(tǒng)是否可以被sessionHi-Jacking？檢查系統(tǒng)是否可以被Session重放攻擊？檢查系統(tǒng)是否可以被Session偽造攻擊？檢查系統(tǒng)是否可以通過(guò)“取回密碼功能”攻擊？檢查數(shù)據(jù)庫(kù)接口模塊，防止用戶獲取系統(tǒng)權(quán)限查看所有的輸入頁(yè)面，檢查輸入是否經(jīng)過(guò)驗(yàn)證？-檢查是否可以被SQ語(yǔ)句注入，登陸系統(tǒng)？檢查是否可以被sql語(yǔ)句注入，修改數(shù)據(jù)庫(kù)？檢查是否可以被sql語(yǔ)句注入，調(diào)用系統(tǒng)程序？查看應(yīng)用程序使用的數(shù)據(jù)庫(kù)用戶及權(quán)限？查看系統(tǒng)中是否用到存儲(chǔ)過(guò)程？檢查系統(tǒng)中數(shù)據(jù)庫(kù)用戶名和密碼存放的方式和位置？檢查文件接口模塊，防止用戶獲取系統(tǒng)文件查看系統(tǒng)是否需要文件接口？檢查系統(tǒng)是否有配置文件泄漏？檢查文件接口頁(yè)面是否限制調(diào)用上級(jí)目錄？檢查是否有臨時(shí)目錄、臨時(shí)文件？-檢查是否已知目錄？-檢查是否有已知文件？-檢查是否有例子文件？-檢查是否有備份文件泄漏？-檢查系統(tǒng)是否允許目錄瀏覽？-檢查文件是否權(quán)限設(shè)置是否適當(dāng)？-檢查是否調(diào)用系統(tǒng)程序？5.4.5檢查其他安全威脅-查看系統(tǒng)是否有CS漏洞？HTM方式顯示HTM方式顯示檢查系統(tǒng)是否有緩沖溢出？檢查系統(tǒng)是否存在遠(yuǎn)程管理功能？檢查系統(tǒng)中是否存在全文搜索，從而獲取敏感信息？-檢查WE系統(tǒng)和數(shù)據(jù)庫(kù)或者中間件是否有加密？檢查是否可以上傳文件？并可以執(zhí)行？檢查系統(tǒng)是否返回多余的錯(cuò)誤信息-檢查系統(tǒng)是否有敏感信息的HTM注釋檢測(cè)系統(tǒng)是否有元字符注入？檢查是否有Nu