滲透測(cè)試的報(bào)告

目錄之宇文皓月創(chuàng)作0x1概述滲透范圍1?2滲透測(cè)試主要內(nèi)容0x2脆弱性分析方法0x3滲透測(cè)試過程描述遍歷目錄測(cè)試3.2弱口令測(cè)試3.3Sql注入測(cè)試3.4內(nèi)網(wǎng)滲透3.5內(nèi)網(wǎng)嗅探0x4分析結(jié)果與建議0x1概述某時(shí)段接到xx網(wǎng)絡(luò)公司授權(quán)對(duì)該公司網(wǎng)絡(luò)進(jìn)行模擬黑客攻擊滲透,在xx年xx月xx日-xx年xx月xx日.對(duì)xx網(wǎng)絡(luò)公司的外網(wǎng)服務(wù)器和內(nèi)網(wǎng)集群精心全面脆弱性黑盒測(cè)試?完成測(cè)試得到此份網(wǎng)絡(luò)滲透測(cè)試陳述。1.1滲透范圍此次滲透測(cè)試主要包含對(duì)象：某網(wǎng)絡(luò)公司外網(wǎng)web服務(wù)器.企業(yè)郵局服務(wù)器，核心商業(yè)數(shù)據(jù)服務(wù)器和內(nèi)網(wǎng)辦公網(wǎng)絡(luò)系統(tǒng)。1?2滲透測(cè)試主要內(nèi)容本次滲透中，主要對(duì)某網(wǎng)絡(luò)公司web服務(wù)器,郵件服務(wù)器進(jìn)行遍歷目錄，用戶弱口令猜解，sql注入漏洞，數(shù)據(jù)庫(kù)挖掘，內(nèi)網(wǎng)嗅探，以及域服務(wù)器平安等幾個(gè)方面進(jìn)行滲透測(cè)試。0x2脆弱性分析方法依照國(guó)家工信部is900尺度,采取行業(yè)內(nèi)認(rèn)可的測(cè)試軟件和技術(shù)人員手工操縱模擬滲透。0x3滲透測(cè)試過程描述3.1遍歷目錄測(cè)試使用載入國(guó)內(nèi)外3萬多目錄字典的wwwscan對(duì)web和郵件服務(wù)器進(jìn)行目錄探測(cè)。得到探測(cè)結(jié)果。主站不存在遍歷目錄和敏感目錄的情況。但是同服務(wù)器站點(diǎn)存在edit編輯器路徑。該編輯器版本過低。存在嚴(yán)重漏洞。 如圖3.2用戶口令猜解Nmap收集到外網(wǎng)服務(wù)器ftp.使用默認(rèn)的賬號(hào)無法連接，于是對(duì)web和能登陸的界面進(jìn)行弱口令測(cè)試,具體如下圖3.3sql注入測(cè)試

^據(jù)庫(kù)挖掘分析）風(fēng)險(xiǎn)總值3U3.4內(nèi)網(wǎng)滲透當(dāng)通過外圍平安一些列檢測(cè)。通過弱口令和注入2中方式進(jìn)入管理后臺(tái)。抓包上傳webshell得到后門開始提升權(quán)限。當(dāng)發(fā)現(xiàn)web服務(wù)器處于內(nèi)網(wǎng)。也正好是在公司內(nèi)部。于是收集了域的信息。想從web入手抓取域管理Hash破解，無果。所以只能尋找內(nèi)網(wǎng)其他域管理密碼。內(nèi)外通過ipc漏洞控制了2個(gè)機(jī)器。獲取到域管hash。用metasploitsmb溢出也得到內(nèi)網(wǎng)機(jī)器權(quán)限同樣也獲得域內(nèi)管理hash。用域管理hash登陸域服務(wù)器。內(nèi)網(wǎng)的權(quán)限全部到手。3.5內(nèi)網(wǎng)嗅探當(dāng)?shù)玫絻?nèi)網(wǎng)權(quán)限其實(shí)就可以得到許多信息。但是主要是針對(duì)商業(yè)數(shù)據(jù)保密的原則。就還需要對(duì)內(nèi)網(wǎng)數(shù)據(jù)傳輸進(jìn)行一個(gè)平安檢測(cè)。于是在內(nèi)網(wǎng)某機(jī)器上裝置cain進(jìn)行嗅探得到一部分電子郵件內(nèi)容信息和一些網(wǎng)絡(luò)賬號(hào).具體看下圖0x4分析結(jié)果與建議通過本次滲透測(cè)試可以看出?xx網(wǎng)絡(luò)公司網(wǎng)絡(luò)的平安防護(hù)結(jié)果不是很理想，在防注入和內(nèi)網(wǎng)權(quán)限中存在多處漏洞或者權(quán)限戰(zhàn)略做的不敷得當(dāng)。本次滲透的突破口主要是分為內(nèi)網(wǎng)和外網(wǎng)，外網(wǎng)設(shè)備存在多處注入和弱口令破解。還有一方面原因是使用第三方editweb編輯器發(fā)生破解賬號(hào)的風(fēng)險(xiǎn)。內(nèi)網(wǎng)由于arp防火墻和域管得戰(zhàn)略做的不是很嚴(yán)密。導(dǎo)致內(nèi)網(wǎng)淪陷。因此。對(duì)本次滲透得出的結(jié)論Xx網(wǎng)絡(luò)公司的網(wǎng)絡(luò)”十分危險(xiǎn)”第一章五金行業(yè)概述21五金行業(yè)簡(jiǎn)介22五金行業(yè)特性23五金行業(yè)典型組織架構(gòu)4第二章五金行業(yè)現(xiàn)狀和問題分析7五金行業(yè)存在的管理特點(diǎn)7五金行業(yè)管理重點(diǎn)與罕見的困擾、8第三章高格ANYV五金行業(yè)解決方案131總體目標(biāo)132應(yīng)用戰(zhàn)略132.1指導(dǎo)思想132.2應(yīng)用要求132.3實(shí)施方法論133方案特色144總體架構(gòu)154.1技術(shù)架構(gòu)155工程技術(shù)基礎(chǔ)數(shù)據(jù)管理175.1關(guān)鍵需求分析185.2關(guān)鍵需求方案195.3業(yè)務(wù)流程205.4關(guān)鍵業(yè)務(wù)控制255.5關(guān)鍵信息處理255.6應(yīng)用效益276銷售訂單管理276.1關(guān)鍵需求分析276.2業(yè)務(wù)流程286.3關(guān)鍵業(yè)務(wù)控制306.4關(guān)鍵信息處理377出口管理387.1關(guān)鍵需求分析387.2關(guān)鍵需求處理387.3業(yè)務(wù)流程397.4關(guān)鍵業(yè)務(wù)控制467.5關(guān)鍵信息處理468供應(yīng)商與推銷管理468.1關(guān)鍵需求分析468.2業(yè)務(wù)流程478.4關(guān)鍵信息處理529倉(cāng)存管理流程529.1關(guān)鍵需求分析529.2關(guān)鍵需求方案539.3業(yè)務(wù)流程549.4關(guān)鍵業(yè)務(wù)控制659.5關(guān)鍵信息處理739.6應(yīng)用效益7310計(jì)劃管理流程7410.1關(guān)鍵需求分析7410.2關(guān)鍵需求方案7510.3業(yè)務(wù)流程7510.4關(guān)鍵業(yè)務(wù)控制7910.5關(guān)鍵信息處理8010.6應(yīng)用效益8111生產(chǎn)任務(wù)及工序管理流程8211.1關(guān)鍵需求分析8211.2關(guān)鍵需求方案8311.3業(yè)務(wù)流程8311.4關(guān)鍵業(yè)務(wù)控制8611.5關(guān)鍵信息處理8712委外加工作業(yè)流程8912.1關(guān)鍵需求分析8912.2關(guān)鍵需求方案9012.3業(yè)務(wù)流程9012.4關(guān)鍵業(yè)務(wù)控制9212.5關(guān)鍵信息處理9212.6應(yīng)用效益9313品質(zhì)管理9313.1關(guān)鍵需求分析9313.2關(guān)鍵需求方案9413.3關(guān)鍵業(yè)務(wù)流程9513.4關(guān)鍵業(yè)務(wù)控制9613.5關(guān)鍵信息處理10013.6應(yīng)用效益10014賬款管理10214.1關(guān)鍵需求分析10214.2關(guān)鍵需求方案10314.3業(yè)務(wù)流程10414.4關(guān)鍵信息處理10714.5應(yīng)用效益10815發(fā)票管理10915.2關(guān)鍵需求方案10915.3關(guān)鍵業(yè)務(wù)流程11015.4關(guān)鍵信息處理11515.5應(yīng)用效益11616固資管理11716.1業(yè)務(wù)流程11716.2關(guān)鍵業(yè)務(wù)控制11816.3關(guān)鍵信息處理11916.4應(yīng)用效益11917總賬系統(tǒng)12017.1業(yè)務(wù)流程12017.2關(guān)鍵業(yè)務(wù)控制12317.3關(guān)鍵信息處理12417.4應(yīng)用效益12518出納系統(tǒng)12718.1關(guān)鍵需求分析12718.2關(guān)鍵需求解決12718.3業(yè)務(wù)流程12718.4關(guān)鍵業(yè)務(wù)處理13718.5關(guān)鍵信息處理13719人薪管理13719.2關(guān)鍵需求方案13819.3業(yè)務(wù)流程13819.4關(guān)鍵業(yè)務(wù)控制14319.5關(guān)鍵業(yè)務(wù)處理14320成本管理14420.1關(guān)鍵需求分析14420.2關(guān)鍵需求方案14420.3業(yè)務(wù)流程14420.4關(guān)鍵業(yè)務(wù)控制159第四章維護(hù)平臺(tái)介紹1634高格管理配置平臺(tái)VOS—(AnyvOperationSystem)簡(jiǎn)述1635高格管理配置平臺(tái)VOS產(chǎn)品架構(gòu)圖1636用戶應(yīng)用自定義配置功能(VOSUD-UserDefineTools)1646.1自定義報(bào)表1646.2查詢方案配置1666.3消息提醒配置(含短信)1676.4自動(dòng)偵錯(cuò)功能1686.5權(quán)限配置168用戶管理員工具(VOSAT-AdministratorTools)1707.1系統(tǒng)參數(shù)字定義1707.2作業(yè)流程SOP自定義1717.4資料庫(kù)更新工具1727.5工作流引擎(WorkflowEngine)1737.6帳套與規(guī)格設(shè)定1757.7數(shù)據(jù)備份與還原工具176系統(tǒng)建模實(shí)施工具(VOSDP-DesignPlatform)1778.1欄位自定義工具1778.2功能菜單自定義1798.3單據(jù)拋轉(zhuǎn)自定180快速二次開發(fā)平臺(tái)(FD-fasterdevelopmentpaltform)18110數(shù)據(jù)交換引擎(XME)18210.1數(shù)據(jù)導(dǎo)入導(dǎo)出工具18210.2XMN數(shù)據(jù)傳輸中間件(集群版專用)183第五章公司介紹1841關(guān)于高格1842高格歷史1843產(chǎn)品家族185第六章行業(yè)成功案例18