综合电商模板

12123123333

12

232323234

32423234

232222222222222

3

132123

23123

http://dannel3-5.iii.cc/merchants.jsp#/admin/ProductManage

123123

中国机械工业机械工程有限公司

北京华云安信息技术有限公司

文档信息

基本信息

适用范围

暂无。

版本控制

目        录

声明    1

第一章    概述    2

1.1    测试描述    2

1.2    测试目的    2

1.3    测试范围    2

1.4    测试工具    3

第二章    测试方法    3

2.1    测试流程    3

2.2    客户委托    4

2.3    弱点利用    4

2.4    结果输出    4

2.5    测试内容    4

第三章    漏洞详解    7

3.1    中危漏洞    7

3.1.1    java源码泄露    7

3.2    低危漏洞    8

3.2.1    明文传输登录口令    8

3.2.2    用户名枚举    8

3.2.3    敏感信息泄露-1    9

3.2.4    敏感信息泄露-2    12

3.2.5    敏感信息泄露-3    13

第四章    总结建议    14

本报告是中国机械工业机械工程有限公司的渗透测试报告。

本报告中给出的测试结论仅对被测系统当时的安全状态有效。

当测试工作完成后，由于系统发生变更，本报告不再适用。

在任何情况下，若需引用本报告中的测试结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。

渗透测试是风险评估中的技术层面评估的一个方面，有效的渗透测试可以直接发现被测试设备真实存在的一些安全风险，如可以发现操作系统、应用程序、数据库、网络设备等存在的漏洞以及漏洞利用的可能性，也可以发现各种设备的口令脆弱性、网络设备的易攻击性、防火墙设备策略的严谨性。

在技术渗透的基础上，可以分析判断出被测试网络中是否存在安全方面的技术风险，同时也可以探究安全管理方面是否存在的不足，使业务系统的安全性和防护能力得以验证。

渗透测试是安全评估的一部分，其侧重是从一个点来发现问题。对于管理制度是否完善、流程是否健全，需要通过其它技术和管理手段去发现。

本次渗透测试主要完成如下目标：

安全性渗透测试，检测系统名称脆弱性;

根据测试结果，提供修复建议;

协助中国机械工业机械工程有限公司增强、加固相关系统，提高系统整体安全性。

Nessus、Appscan、Burp Suite、Nmap、AWVS、Masscan以及各种Payload脚本。

本次渗透是由中国机械工业机械工程有限公司授权进行的，本次服务安排技术人员通过远程网络访问方式，对系统名称进行渗透测试。能够更加准确有效地发现业务系统存在风险和安全漏洞，并提供有效的安全加固和防护建议。由于被测业务系统为核心系统，因此我们在测试过程中尽量避免使用拒绝服务攻击手段。

客户委托是北京华云安信息技术有限公司（以下简称“华云安”）进行渗透测试的必要条件，华云安将告知客户渗透测试中可能面临的风险，所有测试过程都在客户可控范围内进行。

通过信息收集和分析，根据弱点严重性分为两种，第一种是目标系统存在重大弱点，测试者可以直接控制目标系统，这时测试者可以直接获取目标系统中的弱点分布，形成最终的测试报告；另一种是目标系统没有远程重大弱点，但是可以获得远程普通权限。这时测试者可以通过普通权限进一步收集目标系统信息，尽最大努力寻求本地权限升级的机会。这些不停的信息收集分析、权限升级的结果构成了整个渗透测试过程的输出。

从权限提升的目标来分析，也可分为两种。其一是前面叙述的对本地主机权限进行提升。其二是利用已经获得权限的主机发起攻击，获得其他服务器甚至整个网络的控制权限。

为了能让客户更好的理解和监督渗透测试的全过程，本次渗透测试将采用书面文字、关键截图等方式做记录，关键截图可以比书面文字更直观的、更真实的反应渗透测试全过程。

当渗透测试完成后，华云安将根据渗透测试的过程文档撰写《系统名称渗透测试报告》详细描述渗透测试的过程和结果，并对发现的问题提出解决方案。

本次渗透测试是根据中国机械工业机械工程有限公司实际情况安排。渗透测试的目标是中国机械工业机械工程有限公司的业务系统，力求发现系统脆弱点并渗透进入内网，尽可能更多的发现内网应用系统中存在的安全隐患。

以下列出的各类测试内容涵盖当前互联网中常用的攻击方法。测试内容介绍中我们将对发现的安全隐患给予说明，但由于部分攻击方法具有条件限制，只能在特定条件下开展。因此将根据实际情况对本业务系统进行渗透测试。本次渗透测试主要以手工挖掘为主，自动化工具使用为辅，相关的内容安排如下：

漏洞名称	java源码泄露	威胁等级	中
测试人员	樊振华、王楷翔	测试日期	2021.6.23
漏洞地址	http://39.100.196.48:20030/x_program_center/describe/sources/com/x/program/center/jaxrs/command/ActionGet.java http://39.100.196.48:20030/x_program_center/describe/sources/com/x/program/center/jaxrs/command/ActionCommand.java http://39.100.196.48:20030/x_program_center/describe/sources/com/x/program/center/jaxrs/center/ActionVersion.java http://39.100.196.48:20030/x_program_center/describe/sources/com/x/program/center/jaxrs/command/ActionUploadFile.java
漏洞参数
漏洞证明
漏洞危害	在页面中或者返回的响应包中泄露了敏感信息，通过这些信息，攻击者可进一步渗透。
修复建议	1、如果是探针或测试页面等无用的程序建议删除，或者修改不易被猜到的名字。 2、禁用泄露敏感信息的页面或应用。 3、对相关敏感信息进行模糊化处理，在服务器端进行！ 4、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致，切勿返回多于的数据！

漏洞名称	明文传输登录口令	威胁等级	低危
测试人员	樊振华	测试日期	2021.6.22
漏洞地址	http://39.100.196.48/x_desktop/index.html
漏洞参数	password
漏洞证明
漏洞危害	用户登录过程中使用明文传输用户登录信息，若用户遭受中间人攻击时，攻击者可直接获取该用户登录账户，从而进行进一步渗透。
修复建议	用户登录信息使用加密传输，如密码在传输前使用安全的算法加密后传输，可采用的算法包括：不可逆hash算法加盐（4位及以上随机数，由服务器端产生）；安全对称加密算法，如AES(128、192、256位)，且必须保证客户端密钥安全，不可被破解或读出；非对称加密算法，如RSA(不低于1024位)、SM2等。 使用https来保证传输的安全。

漏洞名称	用户名枚举	威胁等级	低危
测试人员	樊振华	测试日期	2021.6.22
漏洞地址	http://39.100.196.48/x_desktop/index.html
漏洞参数	credential
漏洞证明
漏洞危害	站点用户登录处对登录失败的处理存在安全隐患，可能泄漏用户登录ID。目标网站使用不安全的登陆处理方式，当输入错误的用户名时程序会提醒用户名不存在，攻击者可利用此漏洞暴力破解用户名及密码。
修复建议	将返回的提示语改为“用户名或密码错误”。

漏洞名称	敏感信息泄露	威胁等级	低危
测试人员	樊振华	测试日期	2021.6.22
漏洞地址	http://39.100.196.48:20020/x_portal_assemble_surface/jaxrs/portal/b82d7669-85d6-4c10-8151-c4d1f18ba6ef http://39.100.196.48:20020/x_organization_assemble_authentication/jaxrs/authentication http://39.100.196.48:20030/x_program_center/jaxrs/distribute/assemble/source/39.100.196.48
漏洞参数
漏洞证明
漏洞危害	在页面中或者返回的响应包中泄露了敏感信息，通过这些信息，攻击者可进一步渗透。
修复建议	1、如果是探针或测试页面等无用的程序建议删除，或者修改不易被猜到的名字。 2、禁用泄露敏感信息的页面或应用。 3、对相关敏感信息进行模糊化处理，在服务器端进行！ 4、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致，切勿返回多于的数据！

漏洞名称	后台接口代码泄露	威胁等级	低危
测试人员	樊振华	测试日期	2021.6.23
漏洞地址	http://39.100.196.48:20030/x_program_center/jest/#
漏洞参数
漏洞证明
漏洞危害	在页面中或者返回的响应包中泄露了敏感信息，通过这些信息，攻击者可进一步渗透。
修复建议	1、如果是探针或测试页面等无用的程序建议删除，或者修改不易被猜到的名字。 2、禁用泄露敏感信息的页面或应用。 3、对相关敏感信息进行模糊化处理，在服务器端进行！ 4、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致，切勿返回多于的数据！

漏洞名称	sitemap泄露	威胁等级	低危
测试人员	徐艺庭	测试日期	2021.6.23
漏洞地址	http://www.cmmec.cc/sitemap.xml
漏洞参数
漏洞证明
漏洞危害	在页面中或者返回的响应包中泄露了敏感信息，通过这些信息，攻击者可进一步渗透。
修复建议	1、如果是探针或测试页面等无用的程序建议删除，或者修改不易被猜到的名字。 2、禁用泄露敏感信息的页面或应用。 3、对相关敏感信息进行模糊化处理，在服务器端进行！ 4、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致，切勿返回多于的数据！

通过本次对系统名称进行详细的渗透测试，共发现风险：6个，高危漏洞0个，中危漏洞1个，低危漏洞5个。虽然系统本身设置了相关安全措施，但是业务系统仍存在以下方面的问题：

综合渗透测试的过程以及发现的问题，具体的整改方案，见第三章节中的“修复建议”。

清除渗透测试痕迹：

    [无|痕迹信息]