四川品勝安全性滲透測試測試
方案成都國信安資訊產業基地****
二〇一五年十二月
目錄 1
1. 引言 2
1.1. 專案概述 2
2. 測試概述 2
2.1. 測試簡介 2
2.2. 測試依據 2
2.3. 測試思路 3
2.3.1. 工作思路 3
2.3.2. 管理和技術要求 3
2.4. 人員及裝置計畫 4
2.4.1. 人員分配 4
2.4.2. 測試裝置 4
3. 測試範圍 5
4. 測試內容 8
5. 測試方法 10
5.1. 滲透測試原理 10
5.2. 滲透測試的流程 10
5.3. 滲透測試的風險規避 11
5.4. 滲透測試的收益 12
5.5. 滲透測試工具介紹 12
6. 我公司滲透測試優勢 14
6.1. 專業化團隊優勢 14
6.2. 深入化的測試需求分析 14
6.3. 規範化的滲透測試流程 14
6.4. 全面化的滲透測試內容 14
7. 後期服務 16
四川品勝品牌管理****，是廣東品勝電子股份****的全資子公司。依託遍布全國的5000家加盟專賣店，四川品牌管理****打造了線上線下結合的o2o購物平台——「品勝當日達」，建立了「線上線下同價」、「千城當日達」、「向日葵隨身服務」三大服務體系，為消費者帶來便捷的o2o購物體驗。
2023年，品勝在成都溫江科技工業園建立起國內首座終端客戶體驗館，以人性化的互動設計讓消費者親身感受移動電源、數碼配件與生活的智慧型互聯，為追求高品質產品效能的使用者帶來便捷、現代化的操作體驗。
伴隨業務的發展，原有的**、系統、app等都進行了不同程度的功能更新和系統投產，同時，系統安全要求越來越高，可能受到的惡意攻擊包括：資訊篡改與重放、資訊銷毀、資訊欺詐與抵賴、非授權訪問、網路間諜、「黑客」入侵、病毒傳播、特洛伊木馬、蠕蟲程式、邏輯炸彈、apt攻擊等。這些攻擊完全能造成資訊系統癱瘓、重要資訊流失。
本次測試內容為滲透測試。
滲透測試：是為了證明網路防禦按照預期計畫正常執行而提供的一種機制。
※ gb/t 25000.51-2010《軟體工程軟體產品質量要與評價(square) 商業現貨(cots)軟體產品的質量要求和測試細則》
※ gb/t 16260-2006《軟體工程產品質量》
※ gb/t 18336-2001《資訊科技安全技術資訊科技安全性評估準則》
※ gb/t 20274-2006《資訊系統安全保障評估框架》
※ 客戶提出的測試需求
2.3.1. 工作思路
本次系統測試包括功能測試、效能測試、安全測試以及文件測試，本次測試工作將系統測試物件進行控制點劃分，依據專案建設要求和相關標準、規範進行專案系統測試，並加強系統各階段測試和實施過程控制，完善專案目標控制手段。
2.3.2. 管理和技術要求
1、 管理要求
為了保證本專案系統綜合測試的順利進行，將對專案實施事前評審和測試過程監督測試管理工作，合理分配專案人員負責相應的測試工作。
2、 技術要求
為了保證本專案系統測試的順利進行，在本次測試過程中將採取如下技術要求：
※ 滲透測試：驗證系統設計的安全性是否滿足客戶需求。
2.4.1. 人員分配
本次測試組織機構和人員分配如下：
專案管理組：楊方秀
現場測試組：屈緋穎、王洪斌、
專案文件組：龔正
質量控制組：楊方秀、屈緋穎
2.4.2. 測試裝置
針對本次專案的測試範圍和內容，我公司採取滲透測試的方法對整體系統進行安全性評估。
滲透測試過程主要依據現今已經掌握的安全漏洞資訊，模擬黑客的真實攻擊方法對系統和網路進行非破壞性質的攻擊性測試，這裡說有的滲透測試行為將在客戶的書面明確授權和監督下進行。
方案制定：
在獲取到業主單位的書面授權許可後， 才進行滲透測試的實施。並且將實施範圍、方法、時間、 人員等具體的方案與業主單位進行交流，並得到業主單位的認同。 在測試實施之前，會做到讓業主單位對滲透測試過程和風險的知曉， 使隨後的正式測試流程都在業主單位的控制下。
資訊收集：
這包括：作業系統型別指紋收集；網路拓撲結構分析；埠掃瞄和目標系統提供的服務識別等。 可以採用一些商業安全評估系統（如：
iss、極光等） ； 免費的檢測工具（nessus、nmap 等）進行收集
測試實施：
在規避防火牆、入侵檢測、防毒軟體等安全產品監控的條件下進行：作業系統可檢測到的漏洞測試、應用系統檢測到的漏洞測試（如：web應用），此階段如果成功的話，可能獲得普通許可權。
滲透測試人員可能用到的測試手段有：掃瞄分析、溢位測試、口令爆破、社會工程學、客戶端攻擊、中間人攻擊等，用於測試人員順利完成工程。 在獲取到普通許可權後， 嘗試由普通許可權提公升為管理員許可權， 獲得對系統的完全控制權。
一旦成功控制一台或多台伺服器後，測試人員將利用這些被控制的伺服器作為跳板，繞過防火牆或其他安全裝置的防護，從而對內網其他伺服器和客戶端進行進一步的滲透。此過程將迴圈進行， 直到測試完成。最後由滲透測試人員清除中間資料。
報告輸出：
滲透測試人員根據測試的過程結果編寫直觀的滲透測試服務報告。內容包括：具體的操作步驟描述；響應分析以及最後的安全修復建議
安全複查：
滲透測試完成後，某某協助業主單位對已發現的安全隱患進行修復。修復完成後，滲透測試工程師對修復的成果再次進行遠端測試複查，對修復的結果進行檢驗，確保修復結果的有效性。
在滲透測試過程中，雖然我們會盡量避免做影響正常業務執行的操作，也會實施風險規避的計策，但是由於測試過程變化多端，滲透測試服務仍然有可能對網路、系統執行造成一定不同程度的影響，嚴重的後果是可能造成服務停止， 甚至是宕機。比如滲透人員實施系統許可權提公升操作時，突遇系統停電，再次重啟時可能會出現系統無法啟動的故障等。因此，我們會在滲透測試前與業主單位詳細討論滲透方案，並採取如下多條策略來規避滲透測試帶來的風險。
時間策略：
為減輕滲透測試造成的壓力和預備風險排除時間，一般的安排測試時間在業務量不高的時間段。
測試策略：
為了防範測試導致業務的中斷，可以不做一些拒絕服務類的測試。非常重要的系統不建議做深入的測試，避免意外崩潰而造成不可挽回的損失；具體測試過程中，最終結果可以由測試人員做推測，而不實施危險的操作步驟加以驗證等。
備份策略：
為防範滲透過程中的異常問題，測試的目標系統需要事先做乙個完整的資料備份，以便在問題發生後能及時恢復工作。對於核心業務系統等不可接受可能風險的系統的測試，可以採取對目標副本進行滲透的方式加以實施。這樣就需要完整的複製目標系統的環境：
硬體平台、作業系統、應用服務、程式軟體、業務訪問等；然後對該副本再進行滲透測試。
應急策略：
測試過程中，如果目標系統出現無響應、中斷或者崩潰等情況，我們會立即中止滲透測試，並配合業主單位技術人員進行修復處理等。 在確認問題、修復系統、 防範此故障再重演後，經業主單位方同意才能繼續進行其餘的測試。
溝通策略：
測試過程中，確定測試人員和業主單位方配合人員的****，便於及時溝通並解決工程中的難點。
滲透測試是站在實戰角度對業主單位指定的目標系統進行的安全評估，可以讓業主單位相關人員直觀的了解到自己網路、系統、應用中隱含的漏洞和危害發生時可能導致的損失。通過我們的滲透測試，可以獲得如下增益。
安全缺陷：
從黑客的角度發現業主單位安全體系中的漏洞（隱含缺陷），協助業主單位明確目前降低風險的措施，為下一步的安全策略調整指明了方向。
滲透測試的方法
除了找到合適工具以及具備資質的組織進行滲透測試外，還應該準確確定測試範圍。攻擊者會借助社會工程學 偷竊 賄賂或者破門而入等手法，獲得有關資訊。真正的攻擊者是不會僅僅滿足於攻擊某個企業網路的。通過該網路再攻擊其它公司往往是黑客的慣用伎倆。攻擊者甚至會通過這種方法進入企業的isp。由peteherzog...
數學德育滲透方案
一 指導思想 適應新課改的要求，以學校的教育方針為指導，以數學教科書為內容，對學生進行教育，努力把學生培養成為品德高尚的學生。二 德育目標 通過數學教學，使學生學會適應日常生活，參加生產和進一步學習所必需的代數基礎知識與基本技能，進一步培養運算能力，思維能力和空間觀念，能夠運用所學的知識解決簡單的實...
反滲透清洗方案
一 清洗前的閥門檢查 1 清洗幫浦進水閥全開，清洗幫浦出水閥 清洗保安過濾器出口閥，迴圈閥關閉 2 高壓幫浦進口閥 出口閥關閉 3 反滲透產水電動閥 手動閥，濃水排放閥手動閥關閉。二 清洗步驟 2.1鹼洗 2.1.1反滲透放水 開啟反滲透濃水排放閥和產水排放閥至不出水，關閉。開啟清洗產水回水閥 清洗...