Тест на проникновение [закрыто]

11

Мы разворачиваем новый сайт, размещаемся сами. Если не считать белых шапок, как бы вы провели тестирование на проникновение из-за пределов сети?

internet  website  security 
— Марко Картер
источник
Я делать хочу белую шляпу в, проблема у меня в том , что компания не хочет тратить деньги. Чтобы получить финансирование, мне нужно сначала выявить любую уязвимость (я знаю, что это курица и яйцо), поэтому в идеале мне в первую очередь нужно бесплатное решение. Есть идеи?
— Марко Картер
на стеке windows?
— jinsungy
Да, веб-версия Windows Server 2008, использующая IIS7 для хост-машины, общается с двумя серверами базы данных (обе Windows 2003, одна с SQL 2000, а другая с SQL 2005)
— Марко Картер

Ответы:

7

Консультанты Whitehat, которых я видел, приходят и используют этот инструмент, а затем высылают вам огромный счет.

Взгляните на OWASP (Open Security Application Project Project), они очень информативны и бесплатны! у них есть очень подробное руководство по тестированию пера, на которое вы должны обратить внимание.

— Ник Кавадиас
источник
1
это довольно дорого
— Jinsungy
3

Инструменты, которые я бы использовал

Nmap Sister Tool SQLMap

и Несс

также быстрое сканирование для XSS и HTML-инъекций http://www.seoegghead.com/tools/scan-for-html-injection.seo также http://www.cirt.net/nikto2

Убедитесь, что вы смотрели на это во время разработки OWASP

Вы также должны проверить Руководство по безопасности из MS Windows Server 2008 Руководство по безопасности

Проблема с Nessus заключается в том, что канал больше не является бесплатным, если вы не являетесь домашним пользователем. nessus.org/plugins/index.php?view=feed
— К. Брайан Келли
2

McAfee Secure предлагает довольно достойный сервис сканирования , который будет выглядеть на веб - сервере, сети и сам веб - сайт в автоматизированном, по требованию способом. Их сканер сертифицирован для сканирования PCI, поэтому он довольно всеобъемлющий.

— Джастин скотт
источник
2

Другой вариант - Qualys . Помните, что Qualys и решение mcAfee Secure являются сканерами уязвимостей. Ручное тестирование может быть автоматизировано в отношении сканирования, а некоторые из них могут быть автоматизированы для атак XSS и SQL-инъекций, но в конечном итоге вам понадобится авторитетный пентестер, проверяющий систему.

— К. Брайан Келли
источник
Я делать хочу белую шляпу в, проблема у меня в том , что компания не хочет тратить деньги. Чтобы получить финансирование, мне нужно сначала выявить любую уязвимость (я знаю, что это курица и яйцо), поэтому в идеале мне в первую очередь нужно бесплатное решение. Есть идеи?
— Марко Картер
Свободно? Начните с основ, которые вы можете сделать самостоятельно: nmap ( nmap.org ) для сканирования портов и служб и nikto ( cirt.net/nikto2 ) для сканирования уязвимостей.
— К. Брайан Келли
2

Первым делом будет сканирование сети . Поскольку вы находитесь в стеке Windows, используйте zenmap и сканируйте веб-сервер и оба сервера sql. Это расскажет вам об открытых портах и ​​запущенных сервисах. Запустите zenmap для комплексного тестирования. Я бы использовал эту информацию, чтобы настроить брандмауэр для блокировки открытых портов.

Еще одна вещь, которую вы хотели бы сделать, это поиск уязвимостей SQL-инъекций .

Scrawlr - бесплатное программное обеспечение для сканирования уязвимостей SQL-инъекций в ваших веб-приложениях.

Он разработан исследовательской группой HP Web Security в сотрудничестве с Центром реагирования Microsoft Security.

Проверьте это видео ScreenToaster, которое я создал. Он демонстрирует простое сканирование сети для сервера sql, порта 1433 и базового SQL-инъекции.

— jinsungy
источник
1

Топ 10 списков сканеров уязвимостей: http: // sectools.org/vuln-scanners.html

Есть также Microsoft Baseline Security Analyzer, который должен быть частью вашей базовой настройки, если он еще не до развертывания сервера в prod: http: // www.microsoft.com/downloads/details.aspx?familyid=F32921AF-9DBE-4DCE- 889E-ECF997EB18E9 & DisplayLang = ы

— SQLChicken
источник
1

Никто - хорошее начало для поиска известных уязвимостей. Работает на Windows, Linux и т. Д. Достаточно прост даже для таких нубов, как я :)

— DougN
источник
0

Независимо от технологии вам нужно знать угрозы. Вам нужно знать, какие данные вы пытаетесь защитить? Вам нужно знать, как работает ваш сайт. Сначала создайте модель угрозы, забыв об этих магических методах безопасности. Вам нужно выяснить, где вы находитесь, прежде чем тратить без потерь деньги на тест на проникновение.

Мэтт Парсонс CISSP mparsons1980 [at] gmail.com

0

На самом деле я являюсь основным создателем нового тестового LiveCD Distro, который является форком Backtrack 4. Distro объединяет все необходимое для хороших тестов на проникновение (OpenVAS, Metasploit, fasttrack, milw0rm эксплойты ...). Его зовут shadowcircle, и вы можете проверить это @

www.shadowcircle.org.

Надеюсь, вам понравится;)

0

В вашем распоряжении имеется множество инструментов для открытых лицензий, однако там, где я работаю, мы используем Firefox и Paros Proxy для манипулирования сообщениями и получателями, WebInspect для отчетов об уязвимостях приложений и QualysGuard Enterprise для сканирования старых добрых хостов. В зависимости от того, каковы результаты, мы вносим коррективы в конфигурацию и положение безопасности блока, создаем формы принятия рисков для вещей, которые мы не можем изменить, или привлекаем другие инструменты, чтобы решить, стоит ли беспокоиться о находке.

— user5605
источник
Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.