模拟黑客攻击,帮助发现漏洞

模拟黑客攻击,帮助发现漏洞

在取得用户授权情况下,极验的渗透测试工程师通过模拟黑客攻击的方式,检查系统、应用、设备自身的安全性,验证可能存在的安全问题并形成报告。

了解更多

企业需求

各类安全问题和合规性要求,使渗透测试变成企业必要的安全服务

img-all
item-img--all
  • 隐私信息外泄

    企业内部资料和用户信息外泄对企业的知识产权、商业机密、信用信誉造成严重威胁。

  • 新系统上线

    企业刚开发完一个新的系统,需要确保信息安全减少业务风险。

  • 攻击事件频发

    黑客利用漏洞发起攻击事件频频出现,给企业在经济上和信誉上都造成了严重的危害。

  • 合规性要求

    多项认证、指导政策要求企业进行额外的渗透测试。

测试流程

在可控范围内尽可能地获取目标信息系统的管理权限和敏感信息进行测试

测试类型

黑盒测试

渗透者完全处于对系统一无所知的状态。通常这种类型的测试最初的信息来自于 DNS、Web、Email 等各种公开对外的服务器。

白盒测试

测试者可以通过正常渠道向被测单位取得各种资料,包括网络拓扑、员工资料甚至网站或其它程序的代码片断,也能够与单位的员工进行面对面的沟通。这类测试的目的是模拟企业内部雇员的越权操作。

隐秘测试

隐秘测试是对被测单位而言的,被测单位也仅有极少数人知晓测试的存在,因此能够有效地检验单位中的信息安全事件监控、响应、恢复做得是否到位。

测试流程

制定方案
客户授权
信息收集
方案修订
权限提升
痕迹清除
报告编写
沟通结果
项目验收

测试内容

通过网络层、系统层、应用层三个方面的渗透测试,重点发现应用层业务流程和逻辑上的安全漏洞

网络层安全

进行网络拓扑的探测、入侵检测规则试探等发现漏洞并验证后果

明文保存密码
未配置登录超时
未配置 AAA 认证
未配置管理 ACL

系统层安全

发现在系统识别、身份认证、系统漏洞检测等方面存在的安全隐患

版本过低
远程溢出
本地提权
弱口令
权限过大
高危服务/端口开发

应用层安全

发现在信息系统认证及授权、文件接口模块响应等方面存在的安全漏洞

SQL 注入
跨站脚本
跳转漏洞
已知木马
恶意代码
敏感信息泄露
远程代码执行
目录遍历
跨站请求伪造
to-top--btn