网站渗透测试中的漏洞信息搜集介绍

网站渗透测试中的漏洞信息搜集介绍

快到12月中下旬了。很多网站渗透测试的客户都想知道如何收集这个系统漏洞信息，查看利用方法。再次由正弦安全的技术工程师来普及如何发现系统漏洞，如何获取这些有效信息来维护自己的网站项目服务平台的安全，最大限度的减少网站安全隐患，让服务平台更加安全稳定。

威胁情报一般是指从安全数据信息中提取的与网络环境威胁相关的信息，包括威胁的来源、攻击意图、攻击技能、攻击的整体目标信息，以及可用于应对威胁或解决损害的专业知识。理论上的威胁信息还包括资源的生产、加工、制造、分析和利用以及资源的合作与共享的系统。相关定义包括财产、威胁、脆弱性等。实际定义如下。

6.3.2.相关定义

资产:对组织有使用价值的信息或资源。

威胁:根据对系统进行未经授权的浏览、破坏、泄露、篡改数据和信息，或拒绝服务攻击等造成潜在危害的原因，可以用威胁的行为主体(威胁源)、工作能力、资源、主观因素、方式、概率、不利影响等多种特征来描述威胁。

漏洞/系统漏洞:可能受到威胁的一项或多项财产弱点，如被攻击者利用的弱点。

风险:威胁利用财产或一组财产的漏洞对组织结构造成破坏的可能性很大。

安全事件:威胁利用财产的脆弱性并造成特定伤害的场景。

6.3.3.其他事情

一般威胁信息必须包括威胁来源、攻击目的地、攻击目标、攻击技能、系统漏洞、攻击特征、防御措施等。情报可以具有提前预警信息的功能，可以在威胁产生时帮助进行检查和应对，可以用于事后的分析和追查。

常见的互联网威胁情报服务包括网络黑客或诈骗团队分析、社会发展新闻媒体和开源系统信息监管、修复系统漏洞的科学研究、定制化人力分析、即时恶性事件通知、证书修复、事故调查、假冒域名检测等。

为了更好地完成资源的共享和交换，各个机构都制定了相关的规范和标准。有关键的国家标准、美国联邦政府规范等。

在威胁情报层面，比较有象征意义的厂商有RSA、IBM、McAfee、Symantec、FireEye等。

风险控制

6.4.1.普遍风险

非常重要的人

图书馆黑客软件

账户共享

大量注册申请

视频剪辑

盗版，播，看

广告屏蔽

点击欺诈

主题活动

羊毛

直播工作室

杭站人气值

意向文本地图

电子商务/电子商务

故意提交订单

信息欺诈

支付

洗钱

故意提交订单

故意提取现金

其他的

邮件钓鱼

有意爆破

短信骚扰

结构的安全加固

6.5.1.计算机设备

立即检查系统软件版本信息。

比较敏感服务设置和浏览IP/MAC授权管理

开放管理权限级别分类 *** 作。

关闭多余的服务项目。

打开运行日志。

装有异常报警器。

关闭ICMP回复

6.5.2.计算机 *** 作系统

6.5.2.1.Linux *** 作系统

不使用客户/用户组检查。

更敏感的文件权限。

1/3123最后一页

欢迎分享，转载请注明来源：内存溢出

原文地址: http://outofmemory.cn/zz/767908.html