記錄一次網站漏洞修復過程(一)：安全報告

XXXXX網站安全測試報告

 

1    測試目標和對象

1.1  測試目標

滲透測試利用網絡安全掃描器、專用安全測試工具和富有經驗的安全工程師的測試經驗，經過網絡對系統進行非破壞性質的模擬黑客攻擊，目的是深刻挖掘漏洞風險、侵入系統並獲取敏感信息，並將測試的過程和細節產生報告展示給用戶。

1.2 測試對象

序號	IP或域名	時間	測試方式	備註
1	http://www.XXXXX.gov.cn/	2017.10	在線	XXXXX網站

2    測試結論

本次滲透對XXXXX網站進行了安全滲透檢測，共發現漏洞153個，其中高危漏洞59個，中危漏洞78個，低危漏洞16個；漏洞類型主要包括sql注入、點擊劫持等。測試結果可能存在誤報，請手工排查。

3    測試詳情

3.1  漏洞名稱: sql注入

漏洞位置:

http://www.XXXXX.gov.cn/root/line.aspx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：高

漏洞說明：

經過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令

3.2  漏洞名稱: 跨站腳本攻擊

漏洞位置:

http://www.XXXXX.gov.cn/root/zhinan/info.aspx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：高

漏洞說明：

容許攻擊者將惡意代碼（一般以Javascript的形式）插入到網頁，從而獲取訪問該網頁的用戶瀏覽器保留的任何cookie或會話令牌。

3.3  漏洞名稱: IIS目錄枚舉

漏洞位置:

http://www.XXXXX.gov.cn/root

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：高

漏洞說明：

經過在幾個版本的Microsoft IIS中使用一些向量，能夠檢測在Windows中具備8.3文件命名方案等效的文件和目錄的短名稱。例如，能夠檢測全部短名稱的「.aspx」文件，由於它們的擴展名中有4個字母。這多是一個主要問題，特別是對於易受直接訪問URL的.Net網站而言，攻擊者能夠找到一般不可見的重要文件和文件夾。

3.4  漏洞名稱: 應用程序錯誤

漏洞位置:

http://www.XXXXX.gov.cn/root/peo/form.aspx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：中

漏洞說明：

此頁面可能包含敏感信息、警告消息以及包含生成未處理異常的文件位置。

3.5  漏洞名稱: 跨站請求僞造

漏洞位置:

http://www.XXXXX.gov.cn/root/api.asmx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：中

漏洞說明：

HTML表單未開啓CSRF防禦，攻擊者經過假裝來自受信任用戶的請求來利用受信任的網站。

3.6  漏洞名稱: HTTP參數污染

漏洞位置:

http://www.XXXXX.gov.cn/root/allcommon/prjedit.aspx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：中

漏洞說明：

HPP攻擊包括將編碼的查詢字符串分隔符注入其餘現有參數。若是Web應用程序沒有正確地清理用戶輸入，惡意用戶可能會損害應用程序的邏輯，以執行客戶端或服務器端攻擊。

3.7  漏洞名稱: __VIEWSTATE參數未加密

漏洞位置:

http://www.XXXXX.gov.cn/root/default.aspx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：中

漏洞說明：

__VIEWSTATE參數未加密，增大了ViewState中存儲的信息被竊取的風險。

3.8  漏洞名稱: 點擊劫持

漏洞位置:

http://www.XXXXX.gov.cn/（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：低

漏洞說明：

服務器沒有返回X-Frame-Options標題，這意味着這個網站可能會遭受劫持攻擊的風險。

3.9  漏洞名稱: 文件上傳

漏洞位置:

http://www.XXXXX.gov.cn/root/peoinfojiben.aspx

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：低

漏洞說明：

上傳的文件可能會形成重大風險。遠程攻擊者能夠使用特製文件名或MIME類型發送多部分/表單數據POST請求，並執行任意代碼。

3.10   漏洞名稱: OPTIONS方法啓用

漏洞位置:

http://www.XXXXX.gov.cn/

（因爲大量頁面均存在此漏洞，詳見附帶的掃描文檔）

風險等級：低

漏洞說明：

OPTIONS方法開啓，存在泄漏web服務器所支持的HTTP方法的風險。

（經我團隊人員手工檢測，部分掃描結果爲誤報，故在此忽略）