思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第1/共19页 保密级别：商业机密 XXX单位 渗透测试报告 北京思度安全科技有限公司思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第2/共19页 2022-05-23 文档说明 文档名称XXX单位渗透测试报告 文档管理编号2016-12-25 保密级别商密 文档版本号 V1.1 制作人思度安全 制作日期 2021-12-25 复审人 复审日期 扩散范围限“xxx”、XXX单位. 适用范围 本次渗透测试是由 XXX单位授权，由xxx电子科技有限公司（以下简称“ xxx”）对 XXX单位进行的安全风险深度评估，根据评估结果所提交的技术报告，用于对该网站系 统的安全状况做出安全评估和加固建议，仅限于“ xxx”、XXX单位内部人员传阅。 版本变更记录 修改日期版本说明 修改人 2020-12-V1.0文档创建 思度安全思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第3/共19页 25 2022-12- 25V1.1文档修改 思度安全 目录 1. 项目测试说明............................................................................................................................. 5 1.1 概述................................................................................................................................... 5 1.2 测试时间........................................................................................................................... 5 1.3 测试对象........................................................................................................................... 6 1.4 测试计划........................................................................................................................... 6 1.5 测试工具........................................................................................................................... 8 2. 安全问题总览............................................................................................................................. 8 3. 侦查渗透测试........................................................................................................................... 12 Whois侦查测试................................................................................................................... 12 4. 扫描渗透测试........................................................................................................................... 12 4.1 Nmap扫描渗透测试.................................................................................................... 12 4.2 服务器安全防护检测 ..................................................................................................... 13 5. 漏洞利用详情........................................................................................................................... 14思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第4/共19页 5.1 【高】SQL注入............................................................................................................ 14 5.2 【高】跨站漏洞导致恶意重定向钓鱼攻击 (仅作为一种攻击示例 )..........................16 5.3 【中】框架注入............................................................................................................. 18 5.4 【低】会话 cookie 中缺少 HttpOnly 属性.............................................................. 19 5.5 【低】HTTP OPTION \PUT\DELETE 方法被启用................................................... 20 6. 渗透测试安全评估 总结........................................................................................................... 22思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第5/共19页 1.项目测试说明 1.1 概述 目前绝大部分的安全产品只能利用已知的安全漏洞对系统进行程序化的漏洞分析， 缺少灵活性，而渗透测试却能够在可控的前提下进行最贴近于真实情况的漏洞发掘，弥 补了仅仅使用安全产品对系统分析的不足，通过渗透测试可以以攻击者的角度发现一 些 隐性存在的安全漏洞和风险 点，有助于后续的网络安全建 设。xxx科技提 供的渗透测试用 于验证在当前的安全防护 措施下网络、系统 抵抗入侵者攻击的能 力。 本次渗透测试工作有 xxx安全攻防 团队利用主流的攻击技术对目 标网络、系统、 数据 库进行模拟攻击测试，发现了网站 存在的安全漏洞， 并针对每一安全漏洞提 供相应的解 决方法。 1.2 测试时间 渗透测试时间 起始时间2022年12月25日 结束时间2022年12月30日思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第6/共19页 1.3 测试对象 网站名称 域 名/IP 核心业务 EBS系统 费控系统 资金系统 虽然我们可以利用 各种工具 来完成一些自动化的检测工作， 但是任何工具都不能替 代手工测试， 因为工具 局限性很强，存在很多的漏报和 误报，需要人工结 合实际环境手 动测试，工具只是一种 辅助检测手段，我们侧重于手工检查分析漏洞。所提交的报告， 都 是经过xxx科技安全 专家们的严格审核。思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第7/共19页 1.4 测试计划思度安全电子科技有限公司密 级：A级(测试客户公开) 发布生效日期2022-03-01 XXX单位渗透测试报告模板现行版本V1.1 页 次第8/共19页 图一 安全评估 流程图 一、安全评估准备阶段 进行安全评估前， 成立安全评估 小组，做好系统调研，并确定安全评估的目 标、 范围、技术 支持团队。 二、脆弱性识别阶段 脆弱性是指可