网站渗透测试报告-模板.pdf

.

____________________________

电子信息学院渗透测试课程实验报告

____________________________

实验名称：________________________

实验时间：________________________

学生__________________________

学生__________________________

目录

第1章概述2

1.1.测试目的2

1.2.测试X围2

1.3.数据来源2

第2章详细测试结果2

2.1.测试工具2

2.2.测试步骤3

2.2.1.预扫描3

2.2.2.工具扫描3

2.2.3.人工检测3

2.2.4.其他3

2.3.测试结果3

2.3.1.跨站脚本漏洞4

盲注5

2.3.2.管理后台6

2.4.实验总结6

1/6

.

第1章概述

1.1.测试目的

通过实施针对性的渗透测试,发现####系统的安全漏洞,保障##X业务系统安

全运行.

1.2.测试X围

根据事先交流,本次测试的X围详细如下：

系统名称##X

测试域名##.gov

测试时间20##10月16日－20##10月17日

说明本次渗透测试过程中使用的源IP可能为：##

1.3.数据来源

通过漏洞扫描和手动分析获取相关数据.

第2章详细测试结果

2.1.测试工具

根据测试的X围,本次渗透测试可能用到的相关工具列表如下：

检测工具用途和说明

WVSWebVulnerabilityScanner是一个自动化的Web应用

WVS程序安全测试工具,它可以通过检查SQL注入攻击漏洞、跨

站脚本攻击漏洞等来审核Web应用程序.

Linux,FreeBSD,UNIX,Windows下的网络扫描和嗅探工具

Nmap

包.

2/6

.

Burpsuite网络抓包工具,对网络的数据包传输进行抓取.

对工具扫描结果进行人工检测,来判定问题是否真实存在,

浏览器插件

具体方法依据实际情况而定.

系统本身具备的相关命令,或者根据实际情况采用的其他工

其他

具.

2.2.测试步骤

2.2.1.预扫描

通过端口扫描或主机查看,确定主机所开放的服务.来检查是否有非正常的服

务程序在运行.

2.2.2.工具扫描

主要通过Nessus进行主机扫描,通过WVS进行WEB扫描.通过Nmap进行端口

扫描,得出扫描结果.三个结果进行对比分析.

2.2.3.人工检测

对以上扫描结果进行手动验证,判断扫描结果中的问题是否真实存在.

2.2.4.其他

根据现场具体情况,通过双方确认后采取相应的解决方式.

2.3.测试结果

本次渗透测试共发现2个类型的高风险漏洞,1个类型的低风险漏洞.这些漏洞可

以直接登陆web管理后台管理员权限,同时可能引起内网渗透.获取到的权限如下

图所示：

可以获取web管理后台管理员权限,如下步骤所示：