您現在的位置 > 首頁 > 安全服務 > 攻防演練服務



一、攻防演練安全服務介紹


1.1為什麼需要安全攻防演練


在黑客入侵攻擊日益猖獗的現實情況下,我們需要提升安全建設水平來更好保護企業信息安全。不知攻,焉知防,隻有了解黑客是如何進行攻擊才能夠更好保護我們的網絡系統。在網絡環境彙總隻有知道敵人是如何進行攻擊,這樣才會知道如何應對這些攻擊,防止黑客入侵竊取破壞數據。

銥迅信息擁有豐富的安全行業經驗,為客戶發現大量的安全漏洞。我們提供安全攻防演練服務,通過對客戶的安全技術人員進行安全培訓,幫助客戶深入了解到漏洞的成因與黑客利用方法從而進行針對性的防禦。并通過搭建的實戰環境幫助學員建立從理論到實踐的逐步深入的過程,使學員能夠提升對漏洞的學習理解,并能從實戰環境中提升安全技能,更好地保護企業的數據信息安全。


1.2攻防演練安全服務項目收益


銥迅信息擁有一支專業的安全團隊,團隊成員均為行業内優秀的安全專家、白帽子,擁有豐富的安全檢測經驗,先後為國家貢獻近100個原創安全漏洞。

銥迅安全攻防培訓采用銥迅安全攻防演練系統,該系統是根據我們多年對信息安全趨勢的把握與安全行業經驗,以及對企事業單位對人才培養、安全崗位技能的需求基礎上,提供的一套專業、全面、成熟的攻防演練環境。


從安全攻防演練服務項目中,客戶能夠得到的收益至少有:

1) 安全攻防演練服務項目幫助客戶了解到當前安全的發展狀況與業界最新的安全攻擊防禦技術;

2) 安全攻防演練服務以貼近實戰的安全技術進行教學,讓客戶技術人員深入了解掌握安全業界的安全漏洞的成因、漏洞利用、漏洞的防禦方法,提升學員安全技能與企業安全防護能力;

3) 安全攻防演練服務提升企業安全建設水平,提升企業信息安全的發展。



二、安全攻防演練服務内容


我們依據信息安全的發展狀況及安全行業積累的經驗,選取典型的安全測試工具與典型安全漏洞進行培訓講解。攻防演練培訓内容主要包含:端口服務掃描檢測、SQL注入漏洞、XSS跨站腳本漏洞、文件上傳漏洞、暴力破解漏洞、命令執行漏洞、編輯器漏洞、、敏感信息檢測、metasploit滲透平台的使用、提權漏洞、編碼解碼、流量分析、加密解密、取證分析、代碼審計、程序逆向、實戰環境演練。


2.1 SQL注入漏洞


SQL注入攻擊是黑客對數據庫進行攻擊的常用手段之一。随着B/S模式應用開發的發展,使用這種模式編寫應用程序的程序員也越來越多。

在SQL注入課程中通過介紹SQL注入的發現、利用工具、防禦等具體具體技術細節,課程主要包含如下内容:

1) SQL注入原理

2) SQL注入的發現查找

3) SQL注入的利用方法與自動化工具利用

4) SQL注入的防禦方法


2.2 XSS跨站腳本執行漏洞


跨網站腳本(Cross-site scripting),通常簡稱為XSS或跨站腳本或跨站腳本攻擊。這是一種網站應用程序的安全漏洞攻擊,是代碼注入的一種。它允許惡意用戶将代碼注入到正常的網頁上,在其他用戶浏覽網頁或點擊網頁鍊接時受到安全威脅。這一類XSS攻擊通常包含了HTML以及客戶端執行的腳本。

XSS的攻擊通常是隻通過網頁開發室留下的漏洞,通過巧妙地設置注入的方法使惡意代碼嵌入頁面,在客戶端浏覽網頁或點擊鍊接時,嵌入的惡意代碼得到執行。常見的網頁程序為JavaScript,另外還包括了Java, VBScript, ActiveX,Flash,甚至是HTML頁面。攻擊成功後,攻擊者可以執行一些高權限的操作,xss蠕蟲,獲取管理地址,會話和cookies等敏感内容。

當然XSS跨站腳本不僅僅是可以彈出對話框,還可以執行深入的竊取cookie,進行鍵盤記錄、端口探測等高級的利用。


2.3 文件上傳漏洞


在網站的交互中經常會使用到上傳功能,如果文件上傳功能的實現代碼沒有嚴格限制用戶上傳的文件後綴名以及文件類型,可能導緻用戶上傳.aspx,.jsp,.php等腳本文件。

如果遠程服務器權限配置不當,對上傳目錄配置了可執行權限,則攻擊者可以遠程執行上傳的文件,即我們通常稱為webshell。此外上傳文件還可以結合服務器特性、web容器特性進行畸形解析,到達惡意文件執行的目的。下


2.4 暴力破解漏洞


暴力破解,即用暴力窮舉的方式大量嘗試性地猜解密碼。窮舉法的基本思想是根據題目的部分條件确定答案的大緻範圍,并在此範圍内對所有可能的情況逐一驗證,直到全部情況驗證完畢。比如一個四位并且全部由數字組成其密碼共有10000種組合,也就是說最多我們會嘗試9999次才能找到真正的密碼。利用這種方法我們可以運用計算機來進行逐個推算,也就是說用我們破解任何一個密碼也都隻是一個時間問題。

在設置密碼時需要對密碼強度進行設置8位以上數字+字符+大小寫字母,設置密碼盡量避免簡單例如:123456,admin888,passw0rd,1qaz2wsx等形式。


2.5 端口服務掃描


在服務器中,開放的端口都對應着相應的服務應用,在對外開放的端口服務不能為無關的業務,如果對外開放多個無關端口與服務則會導緻安全問題。例如:21端口對應FTP服務,22端口對應SSH服務,80端口對應web服務,443端口對應SSL服務。

通過探測服務器開放的端口與服務可以針對相應的服務進行漏洞的探測。windows2003  445端口SMB服務存在遠程溢出漏洞可被入侵風險;SSH端口對外開放則存在被爆破的風險。


2.6 命令執行漏洞


命令執行漏洞指程序設計未嚴格限制輸入參數,導緻可以執行系統命令或者是應用框架存在安全漏洞導緻可以執行系統命令。例如大量使用的struts2框架由于未對輸入數據嚴格校驗導緻可以執行任意系統命令,影響數以百萬計網站;最近爆發的java反序列化漏洞,由于未對輸入數據未嚴格校驗導緻可以執行命令,影響weblogic、JBOSS、websphere、jenkins等衆多應用。例如struts2命令執行漏洞:


2.7 編輯器漏洞


在網站開發中使用第三方編輯器可以方便快捷的搭建起響應編輯、插入圖片、上傳文件功能,大大節省了開發時間,但也由于很多編輯器存在安全問題導緻可以上傳惡意後門文件,危害服務器安全。

在使用量較大的編輯器為Fckeditor和Ewebeditor,這兩種編輯器部分版本存在安全問題,影響衆多網站。Ewebeditor編輯器默認數據庫可下載,導緻可以獲取用戶名密碼;Fckeditor編輯器存在文件上傳點,可上傳惡意後門文件,導緻服務器被入侵。


2.8 Metasploit滲透平台的使用


Metasploit是一款開源的安全漏洞檢測工具,可以幫助安全和IT專業人士識别安全性問題,驗證漏洞的緩解措施,并管理專家驅動的安全性進行評估,提供真正的安全風險情報。這些功能包括智能開發,密碼審計,Web應用程序掃描,社會工程。它分為auxiliary輔助模塊、exploits攻擊模塊、encoders編碼模塊、payloads攻擊載荷、post後滲透模塊。它可以進行掃描,暴力破解、入侵,生成後門、提權等衆多功能,且所有攻擊載荷在内存中運行,不會在目标留下痕迹。


2.9 編碼解碼


編碼是信息從一種形式或格式轉換為另一種形式的過程也稱為計算機編程語言的代碼簡稱編碼。解碼是編碼的逆過程,是将編碼後的代碼還原為原始格式。常見的編碼解碼的格式有Javascript混淆編碼解碼、base64編碼解碼、Hex編碼解碼、SQL編碼解碼、Unicode編碼解碼、rot13編碼解碼等格式。


2.10 流量分析


網絡流量就是網絡上傳輸的數據量。網絡流量的大小對網絡架構設計具有重要意義,就像要根據來往車輛的多少和流向來設計道路的寬度和連接方式類似,根據網絡流量進行安全分析,可以有效地發現網絡的存在的安全漏洞、敏感信息、文件傳輸。常見網絡流量分析分為FTP流量分析、HTTP流量分析、HTTPS流量分析、DDOS流量分析等。


2.11 加密解密


加密技術是最常用的安全保密手段,利用技術手段把重要的數據變為亂碼(加密)傳送,到達目的地後再用相同或不同的手段還原(解密)。程序的加密與解密是專業性很強研究領域,它可以與任意計算機技術緊密結合--密碼學、程序設計語言、操作系統、數據結構。對常見的密碼的加密解密有:MD5加密解密、凱撒密碼、栅欄密碼、自定義算法加密解密。通過熟悉加密解密方法來解決系統安全問題。


2.12 取證分析


在信息安全領域的的取證分析針對信息系統的特點,提取Web日志、系統日志、數據庫日志、流量日志、安全設備日志等。通過對web日志分析,提取web訪問記錄中存在的攻擊特征、攻擊數據、利用的漏洞點等重要信息;對數據庫日志信息分析可以發現數據庫中的非法訪問、異常的數據讀取、插入、删除等操作;對系統流量進行分析可以發掘出異常的網絡通信行為。通過對取證分析可以有效排查定位攻擊源、漏洞信息以及為安全的修複評估提供依據。


2.13 代碼審計


代碼審計(Code audit)是一種以發現程序錯誤,安全漏洞和違反程序規範為目标的源代碼分析。通過分析源代碼找出程序存在的漏洞與不當的配置,常見代碼審計有:

1.前後台分離的運行架構2.WEB服務的目錄權限分類

3.認證會話與應用平台的結合

4.數據庫的配置規範

5.SQL語句的編寫規範

6.WEB服務的權限配置


2.14 程序逆向


逆向技術,是一種産品設計技術再現過程,即對一項目标産品進行逆向分析及研究,從而演繹并得出該産品的處理流程、組織結構、功能特性及技術規格等設計要素。在安全中對可執行程序進行逆向分析,得到程序中存在的敏感信息、功能模塊、時間處理機制,從而可以針對性進行軟件的注冊繞過、指令的繞過、程序修改等操作。


2.15 提權漏洞


提權漏洞就是一個本來非常低權限、受限制的用戶,可以提升到系統至高無上的權限。當黑客已經通過傳入WEBSHELL手段進入了目标機器後,但此時權限是非常低的,黑客無法種植木馬,控制目标機器,也無法滲透到服務器更深層的機器。可以通過利用系統提權的漏洞獲取system權限或管理員權限,從而完整控制服務器。


2.16 實戰環境演練


在學習了安全知識後可以在銥迅攻防演練環境中進行實戰的操作:

一、專項安全練習:通過學習的技能與工具對演練環境目标模拟黑客進行攻擊(如SQL注入、文件上傳、暴力破解、命令執行等),通過對專項的安全漏洞進行練習,讓學員深刻學習安全的理論與實踐知識。

二、綜合攻防環境練習,通過對綜合的演練環境進行攻防對抗,利用學習的安全知識進行實戰運用,攻防雙方相互攻擊與防禦,奪取FLAG或者對方系統權限,最先完成的一方為勝方。