三位一体的漏洞分析方法-web应用安全测试方法
作者:网络转载 发布时间:[ 2016/1/26 13:26:24 ] 推荐标签:软件测试 WEB测试
2.获取Apache、Nginx、Tomcat的access日志
360-日志宝
Splunk
各种日志审计系统
从旁路镜像中提取url日志 (安全人员不用再被动等待应用 的上线通知) 如:jnstniffer、 360鹰眼、各大IT公司等
· 从旁路镜像中获取url列表,能高效地检出大量的漏洞,不需要运维人员通知,便可以获知业务系统的上线情况并执行漏洞扫描任务。
0x03 半自动式漏洞分析:业务重放、url镜像,高覆盖度
- 局限 ① 时间滞后/token: 流量重发时,不一定能重现当时的业务流程及出现的bug。 ② 依然难以覆盖的业务链接,存在孤岛页面。(正常数据流不触发) ③ 漏洞检测(防御)技术滞后于攻击技术,无法解决0day漏洞 - 解决方法:引入全被动式漏洞分析
0x04 全被动式漏洞分析:
国外产品:Nessus PVS被动扫描
全被动式漏洞分析(不发送任何数据包)
全被动式扫描VS主动式漏洞扫描器 相同点:都是根据双向数据包的内容,判断漏洞是否存在 不同点: 检测方式:被动式扫描不需要联网,不会主动发出url请求,也不发出任何数据包 PVS和IDS的区别: · 更关注漏洞感知,而不是入侵,如页面出现sql错误信息,可触发pvs报警,但不会触发ids报警。 · 报警结果不一样:pvs按照漏洞的风险等级,ids按照黑客的攻击手段报警 · 双向分析数据报文 · 更关注于web应用,OWASP TOP10的攻击手段 · 按攻击影响报警(分析双向报文),而不是按攻击手段去报警(分析单向报文) Nessus的PVS只是一个思路,它专注及网络及主机漏洞,对Web应用的检测能力有限,需要重新设计一个针对web的PVS出来:WebPVS,同步接受用户提交的所有业务请求,通过扫描引擎识别请求,一旦发现恶意请求或者该请求返回数据,触发报警处理
· WebPVS的优点: · 虽然依然难以覆盖的业务链接,但是能覆盖已经发生的业务链接。 · 能与黑客同步发现各种漏洞 · 由于HTTP协议是固定,因此能够根据回包情况发现0day攻击。
相关推荐
更新发布
功能测试和接口测试的区别
2023/3/23 14:23:39如何写好测试用例文档
2023/3/22 16:17:39常用的选择回归测试的方式有哪些?
2022/6/14 16:14:27测试流程中需要重点把关几个过程?
2021/10/18 15:37:44性能测试的七种方法
2021/9/17 15:19:29全链路压测优化思路
2021/9/14 15:42:25性能测试流程浅谈
2021/5/28 17:25:47常见的APP性能测试指标
2021/5/8 17:01:11