---
title: 商派渗透测试方案
description: 文本抽取：安全性能/总体/商派渗透测试方案
updated: 2026-11-04
tags: [原始文档, 抽取, 安全性能]
source: 安全性能/总体/商派渗透测试方案
source_type: txt
source_hash: c28d5c55bd92
extracted_at: 2026-11-04
quality: ok
---
---
source: 安全性能/总体/商派渗透测试方案.pdf
type: pdf
size_kb: 1805
category: 总体
quality: ok
---
## Page 1
交付值得信任的解决方案
S e
S
c
e
u
c
r
u
it
r
y
i t y
S o
S
l
o
u
l
t
u
io
ti
n
o
s
n s
安全渗透测试方案
商派软件有限公司
Security Solutions
## Page 2
目录
1.方案概要 ...................................................................................................................................... 1
1.1.项目背景 ................................................................................................................... 1
1.2.企业面临的挑战 ....................................................................................................... 1
1.3.企业常见问题 ........................................................................................................... 2
1.4.方案价值 ................................................................................................................... 2
1.5.质量保证 ................................................................................................................... 3
1.6.服务平台简介 ........................................................................................................... 4
2.实施规划及风险规避................................................................................................................... 5
2.1.实施规划 ................................................................................................................... 5
2.2.风险规避措施 ........................................................................................................... 6
2.3.实施团队 ................................................................................................................... 6
3.详细实施内容............................................................................................................................... 8
3.1.应用层全范围弱点预检 ........................................................................................... 8
3.1.1.预检的必要性及收益 .................................................................................... 8
3.1.2.预检内容 ........................................................................................................ 8
3.1.3.预检范围 ........................................................................................................ 8
3.2.WEB应用层渗透测试............................................................................................ 10
3.2.1.测试的必要性及收益 .................................................................................. 10
3.2.2.测试范围 ...................................................................................................... 10
3.2.3.测试原理 ...................................................................................................... 10
3.2.4.测试标准 ...................................................................................................... 11
3.2.5.测试内容 ...................................................................................................... 12
3.3.APP端渗透测试..................................................................................................... 22
## Page 3
3.3.1.测试的必要性及收益 .................................................................................. 22
3.3.2.测试范围 ...................................................................................................... 22
3.3.3.测试原理 ...................................................................................................... 22
3.3.4.测试标准 ...................................................................................................... 22
3.3.5.测试内容 ...................................................................................................... 23
3.4.API渗透测试 .......................................................................................................... 25
3.4.1.测试的必要性及收益 .................................................................................. 25
3.4.2.测试范围 ...................................................................................................... 25
3.4.3.测试原理 ...................................................................................................... 25
3.4.4.测试标准 ...................................................................................................... 26
3.4.5.测试内容 ...................................................................................................... 26
## Page 4
1.方案概要
1.1.项目背景
随着企业的业务规模不断发展壮大。企业面临诸多的安全问题。问题主要来自外部竞
争对手恶意竞争和日益猖厥的黑客攻击以及开发过程缺乏安全测试，相关操作人员安全意
识不足等方面。
结合企业安全状况和安全专家分析，为提高企业平台信息系统安全，特撰写此方案。
1.2.企业面临的挑战
随着企业业务规模不断扩大，应用部署愈加复杂，系统迭代愈加频繁，对安全要求也
越来越高。企业相关系统可能存在如：Web应用存在SQL注入、消息传输不安全等威胁；
内部人员安全意识、安全知识不足等问题。参照 ISO17799/ISO27001、OWASP、
WASC、PCI/DSS等国际标准可以把企业面临的问题总结如下两方面：
▋外部挑战
◆ 应用系统存在漏洞易遭受黑客攻击；
◆ 系统对外权限控制不当；
◆ 对外服务缺乏定期安全检测；
◆ 缺乏第三方专业技术支持与应急响应；
▋内部挑战
◆ 运维人员安全意识不足；
◆ IT安全管理制度不完善；
◆ 开发人员代码安全性低；
POWERED BY ShopEx 1 SOLUTION
## Page 5
◆ 信息传输泄密；
1.3.企业常见问题
根据我司多年从业，经验总结出企业信息系统可能存在诸多问题，整理结果如表 11：
表 11企业信息系统常见问题及危害
类别 企业问题 危害
1、代码存在漏洞 1、SQL注入，泄露用户敏感信息
网站 2、敏感信息泄露 2、企业敏感信息泄露
3、明文传输密码 3、敏感信息泄露，危害用户资金安全
1、明文传输密码 1、敏感信息泄露，危害用户资金安全
APP
2、密码重置风险 2、重置用户密码，影响用户资金安全
1、代码存在漏洞 1、被黑客攻击，进而取得服务器最高权限
API 2、隐私信息泄露 2、用户隐私信息泄露，直接截获用户密码
3、调用频率未做限制 3、接口被滥用，影响正常用户使用
1、安全意识不足 1、不安全操作，不安全编码
员工
2、缺乏安全知识 2、相关安全配置等级不高
1.4.方案价值
通过实施本方案，将为企业带来以下价值收益：
1. 使交易信息保护更加全面，增加在线交易信誉度，同时可提高企业的知名度和信
任度；
2. 能够保护用户数据的完整性，不被恶意窃取、修改；
3. 能够有效保障用户体验，提升用户黏性，防止用户流失；
4. 能够有效抵御恶意攻击，强化抗攻击能力；
方案实施后企业信息系统安全等将发生跃升，可由目前的 F（危险）级上升至最安全
的A级。效果如图 11所示：
POWERED BY ShopEx 2 SOLUTION
## Page 6
图 11信息安全等级图
1.5.质量保证
为了保证企业利益及按照行业标准，我司对安全服务作如下质量保证：
▋全面性
◆ 市面已知且系统存在的漏洞全部发现；
◆ 对质量进行严格把控，确保每一步不遗漏、不简化，严格按照标准和流程执
行；
◆ 售后回访，对于服务过程进行调查，保证不遗漏任何步骤；
▋准确性
◆ 安全专家人工测试，确保测试深入业务逻辑，准确深入；
◆ 回归测试，保证提交漏洞确实完全修复；
▋及时性
◆ 安全问题及时响应；
POWERED BY ShopEx 3 SOLUTION
## Page 7
1.6.服务平台简介
商派安全服务团队致力于帮助企业提升安全等级，保护用户隐私，提高行业影响力。
已服务过屈臣氏，雀巢，TNH, Lee, Van, Dickies,等近百家互联网知名企业及上市公司。
图 12 服务客户
POWERED BY ShopEx 4 SOLUTION
## Page 8
2.实施规划及风险规避
2.1.实施规划
为保证服务质量，便于项目进度跟踪，特将项目内容进行时间规划，并指定相应负责
人，具体内容如表 21所示（表 21时间均为单次工作耗时）：
表 21服务项时间表
事项 工作量（次） 负责人员
单次弱点预检 人天 安全专家
单次渗透测试 人天 资深WEB渗透专家
单次APP测试 人天 资深APP渗透专家
单次API测试 人天 资深API渗透专家
隐私数据泄露检测 人天 安全专家、服务工程师
页面防篡改 人天 安全专家
重点应用7*24小时可用性监控 人天 安全专家
7*24*365Webshell监控 人天 安全专家
流量攻击测试 人天 安全专家
7*24*365全站可用性监测 人天 安全专家
拒绝服务攻击私有云 人天 安全专家
服务器定期巡检与加固 人天 服务工程师
竞争对手黑客追踪反APT报告 人天 安全专家
内容加速部署 人天 服务工程师
防撞库、反欺诈、反刷单私有云 人天 安全专家
安全培训 人天 安全讲师
安全通告 服务期内每周五 服务工程师
POWERED BY ShopEx 5 SOLUTION
## Page 9
安全咨询 服务期内 安全专家
质量管理 服务期内 项目经理
2.2.风险规避措施
安全测试过程中可能对业务产生影响，可由测试方和被测试方共同采取以下措施来减
小风险：
◆ 在安全测试中针对线上系统和重要系统不使用含有拒绝服务的测试策略（包括
资源耗竭型DoS、畸形报文攻击、数据破坏）；
◆ 对本次测透测试过程中的三方面数据进行完整记录：操作、响应、分析，最终
形成完整有效的渗透测试报告提交给企业；
◆ 安全测试验证时间安排在企业业务量最小的时间进行；
◆ 在安全测试过程中如果出现被测试系统没有响应的情况，将会立即停止测试工
作，与企业工作人员一同分析情况，在确定原因后，并待正确恢复系统，采取
必要的预防措施（比如调整测试策略等）之后，再继续进行；
◆ 测试人员会与企业网站系统和安全管理人员保持良好沟通，随时协商解决出现
的各种难题；
◆ 在测试开始前由企业工作人员做好相应备份工作
2.3.实施团队
为保证服务质量，经安全专家讨论成立企业专项安全小组，其成员由公司技术骨干人
员组成，该小组包括：项目经理，服务工程师，安全专家。本项目服务实施人员见表 22：
表 22服务团队信息表
实施人员 职责
项目经理 负责督促与协调项目的正常实施，制订项目计划和客户跟踪
POWERED BY ShopEx 6 SOLUTION
## Page 10
服务工程师 为企业相关安全服务，主要和客户沟通服务实施
安全专家 对公司应用进行渗透性测试，并提供解决方案
安全讲师 对客户进行安全培训,并对相应安全问题进行解答
POWERED BY ShopEx 7 SOLUTION
## Page 11
3.详细实施内容
3.1.应用层全范围弱点预检
3.1.1.预检的必要性及收益
通过预检可以快速发现应用系统问题，特别适合快速迭代的企业。从必要性及收益角
度分析来看：
必要性：系统迭代频繁，上线时间紧迫，需要快速发现安全问题
收益：快速对系统进行检测，发现漏洞，保证产品如期上线
3.1.2.预检内容
本方案将会对客户提供的表 31中授权范围的应用系统进行弱点预检：
表 31应用层全范围弱点预检范围表
N0. 域名 备注
1 http://www.XXX.com/ 主站
3.1.3.预检范围
应用层全范围弱点预检指安全专家依据 OWASP 相关标准对企业进行一次快速的风险
弱点检查，快速定位系统风险，为企业解决平台风险提供准确参考。检查项目如表 32 所
示：
表 32应用层全范围弱点预检表
分类 引用号 测试名 测试
信息收集 OWASP-IG-001 测试:蜘蛛，机器人和爬虫
POWERED BY ShopEx 8 SOLUTION
## Page 12
OWASP-IG-002 搜索引擎发现/侦查
OWASP-IG-003 应用程序发现
OWASP-IG-004 错误代码分析
SSL/TLS 测试 (SSL 版本，算
OWASP-CM-001 法， 密钥长度，数字证书，
合法性)
配置管理测试
OWASP-CM-002 数据库监听测试
OWASP-CM-003 基础结构配置管理测试
OWASP-AT-001 加密信道证书传输
OWASP-AT-002 用户枚举测试
认证测试
OWASP-AT-003 默认或可猜解 (遍历)用户帐 户
OWASP-AT-004 暴力破解测试
OWASP-SM-001 会话管理模式测试
OWASP-SM-002 Cookies 属性测试
会话管理 OWASP-SM-003 会话固定测试
OWASP-SM-004 会话变量泄露测试
OWASP-SM-005 CSRF 测试
OWASP-DV-001 反射式跨站脚本测试
数据验证测试 OWASP-DV-002 存储式跨站脚本测试
OWASP-DV-003 DOM跨站脚本测试
POWERED BY ShopEx 9 SOLUTION
## Page 13
OWASP-DV-004 FLASH 跨站脚本测试
OWASP-DV-005 SQL 注入
OWASP-DV-006 XML 注入
OWASP-DV-007 代码注入
3.2.WEB应用层渗透测试
3.2.1.测试的必要性及收益
Web 应用在开发过程中往往由于工程师粗心等原因，在系统中留下安全问题，这些漏
洞一担被黑客发现就会被用来窃取用户数据或是盗取用户资金，给用户和企业带来极大损
失。从必要性及收益角度分析来看：
必要性：系统开发过程必然存在漏洞，有泄露用户信息或用户资金被盗风险
收益：保证用户信息、资金安全，提升企业知名度
3.2.2.测试范围
本方案将会对客户提供的表 33中授权范围web应用系统进行渗透测试：
表 33WEB应用层渗透测试范围表
N0. 域名 备注
1 http://www.XXX.com/ 主站
3.2.3.测试原理
由安全专家对企业网站应用系统，尤其是通过基于web的应用系统进行应用安全评估
和渗透测试，发现和弥补应用系统存在的弱点。安全专家模拟黑客全面检测web应用存在
POWERED BY ShopEx 10 SOLUTION
## Page 14
的漏洞并使用攻击向量对漏洞进行控制操作，评估漏洞对企业平台功能或资产可以造成的
损害，进而评估对企业业务的影响。原理如图 31所示：
图 31 web应用层渗透测试原理图
3.2.4.测试标准
表 34 OWASP WEB漏洞TOP10
序号 英文 中文
A1 Injection 注入
A2 Broken Authentication and Session 失效的身份认证和会话管理
Management
A3 Cross-Site Scripting (XSS) 跨站脚本（ XSS）
A4 Insecure Direct Object References 不安全的直接对象引用
A5 Security Misconfiguration 安全配置错误
A6 Sensitive Data Exposure 敏感信息泄露
A7 Missing Function Level Access Control 功能级访问控制缺失
A8 Cross-Site Request Forgery (CSRF) 跨站请求伪造 （ CSRF）
A9 Using Components with Known 使用含有已知漏洞的组件
Vulnerabilities
A10 Unvalidated Redirects and Forwards 未验证的重定向和转发
POWERED BY ShopEx 11 SOLUTION
## Page 15
3.2.5.测试内容
WEB 应用渗透测试是通过模拟恶意黑客的攻击方法，来评估 WEB 应用安全的一种评
估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一
个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。其中主要
内容如下：
▋配置管理测试
◆ SSL/TLS测试；
◆ 数据库监听测试；
◆ 基础结构配置管理测试；
◆ 应用配置管理测试；
◆ 文件扩展名处理测试；
◆ 过时的、用于备份的以及未被引用的文件；
◆ 基础结构和应用管理接口；
◆ HTTP方法和XST测试；
▋认证测试
◆ 加密信道证书传输；
◆ 用户枚举测试；
◆ 可猜解用户帐户猜测（遍历）测试；
◆ 暴力测试；
◆ 认证架构绕过测试；
◆ 记住密码和密码重置弱点测试；
◆ CAPTCHA测试；
◆ 多因素身份验证测试；
◆ 竞态条件测试；
▋授权测试
POWERED BY ShopEx 12 SOLUTION
## Page 16
◆ 路径遍历测试；
◆ 绕过授权模式测试；
◆ 权限提升测试；
▋会话管理测试
◆ 会话管理模式测试；
◆ 会话固定测试；
◆ 会话变量泄露测试；
◆ 跨站请求伪造（CSRF）测试；
▋数据验证测试
◆ 跨站点脚本的测试；
◆ SQL注入；
◆ LDAP注入；
◆ ORM注入；
◆ XML注入；
◆ SSI注入；
◆ XPath注入；
◆ IMAP/SMTP注入；
◆ Code注入；
◆ OS命令；
◆ 缓冲区溢出；
◆ 潜伏式漏洞测试；
▋拒绝服务攻击测试
◆ SQL通配符攻击测试；
◆ 锁定用户账户；
◆ 缓存溢出；
POWERED BY ShopEx 13 SOLUTION
## Page 17
◆ 分配用户指定对象；
◆ 将用户输入作为循环计数器；
◆ 将用户提供的数据写到磁盘；
◆ 释放资源失败；
◆ 存储过多会话数据；
安全测试具体内容包括操作系统测试，数据库测试内容，应用系统测试三种：
1.操作系统测试内容
漏洞扫描
使用系统漏洞测试工具对各个操作系统进行全面的漏洞扫描和补丁级别分析，发现系
统存在的各类远程代码执行漏洞、缓冲区溢出漏洞、拒绝服务漏洞、权限提升漏洞等，并
提供补丁升级方案和漏洞修复方案。
弱配置测试
检查系统中的各项配置是否符合安全规范，发现可能存在安全风险的配置项并提出修
改方案。配置测试内容主要包括：
◆ 弱服务；
◆ 网络参数
◆ 日志审计配置；
◆ 文件和目录权限弱配置；
◆ 系统访问、认证和授权；
◆ 用户帐户和系统环境弱配置；
2.数据库测试内容
使用数据库安全测试工具针对数据库进行全面的漏洞检测和扫描分析。主要内容包
括：
DBMS 漏洞：数据库系统自身存在的漏洞，这些漏洞可引发数据泄露、权限提升或拒
绝服务攻击等问题。
POWERED BY ShopEx 14 SOLUTION
## Page 18
弱口令：帐户口令的安全强度不符合安全性要求，如使用了 123456 此类弱口令，可
轻易被猜解。
缺省口令：使用数据库系统安装的缺省口令，由于该口令是公开的，安全隐患很大。
配置缺陷：由于数据库或系统的配置造成的安全缺陷或风险点。
补丁：数据库的版本或相应功能版本已经不再被支持了，需要进行升级来实现更好的
安全性。
易受攻击代码：在数据库的系统表或存储程序中存在可能会被利用来进行攻击的代
码，或存在已经发现的存在漏洞的存储程序。
程序后门：由于不安全的程序造成在某种条件下可能触发安全缺陷。
3.应用系统测试内容
应用系统测试内容主要包括如下多个过程：
信息收集
应用系统安全测试的第一步是收集关于测试目标应用的信息。信息收集是安全测试的
必要步骤。通常使用公共工具（搜索引擎）、扫描器、发送简单或特别的HTTP请求等来使
被测应用泄露信息。
1.使用蜘蛛、机器人和爬虫
目的是浏览和捕获被测应用相关的资源。
2.搜索引擎发现与侦察
通过 GOOGLE 等搜索引擎可以用来发现被测应用中已经被公开的错误页面或WEB 应
用结构问题。
3.猜解应用入口点
枚举测试对象应用发现更多可访问的攻击面。
4.测试WEB应用指纹
应用指纹是信息收集的第一步。探测正在运行的应用服务器的版本和类型后，可以确
定已知的漏洞和测试过程中的相应攻击方法。
POWERED BY ShopEx 15 SOLUTION
## Page 19
5.应用发现
应用发现是一项面向驻留在应用服务器中的应用识别的活动。该分析可发现有助于揭
示诸如用于管理目的的应用程序的细节。此外，可发现诸如取消删除的，过时的脚本文
件，这些文件通常是在测试、开发或维护过程产生的。
6.错误代码分析
在安全测试过程中，应用程序可能会泄露一些不应该被最终用户看到的信息。可根据
诸如错误代码之类的信息推测出应用所使用的技术和产品。在不当的异常处理设计与编码
的情况下，错误代码通常不需要专门技能或工具就可以很容易地去调用。
配置管理测试
通过分析基础结构和拓扑结构获取大量的应用程序的信息。如源代码，可允许的
HTTP方法，管理功能，身份认证的方法和基础结构的配置。
1. SSL/TLS测试
SSL 和 TLS 是通过加密为传播的信息提供安全信道的协议，该安全信道具有保护，保
密和身份认证的功能。考虑到这些安全工具的关键性，确保加密算法的高强度及其正确执
行。
2. 数据库监听测试
在数据库服务器配置时，许多数据库管理员没有充分考虑到数据库侦听器组件的安
全。如果没有进行安全的配置而使用手动或自动的技术进行侦听，侦听器就可能泄露敏感
数据以及配置信息或运行的数据库实例信息。
3. 基础结构配置管理测试
相互联系的混杂的应用服务器结构可架设多个应用程序，这种固有的复杂性使配置管
理和审查成为测试和部署每一个应用程序的一个基本步骤。其实一个漏洞就可破坏整个基
础结构的安全，甚至某些微小且不重要的问题可能对于相同服务器上的另外一个应用程序
是个严重的威胁。为了排除此类问题，需要对配置和已知的安全问题执行深入审查。
4. 应用配置管理测试
POWERED BY ShopEx 16 SOLUTION
## Page 20
应用程序隐藏了部分在应用程序自身开发和配置中没有考虑到的信息。这些信息可能
从源代码，日志文件或Web 服务器的默认错误代码中泄露。
5. 文件扩展名处理测试
从应用服务器或应用程序上的文件扩展名能够识别出目标应用程序采用的技术。文件
扩展名也可能暴露与该应用程序连接的其它系统。
6. 过时的、用于备份的以及未被引用的文件
应用服务器上多余的，可读的和可下载的文件，如过时的，用于备份的和更名的文
件，可能造成信息泄露。需要验证这些文件的存在。
7. 基础结构和应用管理接口
许多应用程序在管理接口使用一个公用路径，从而可能被用来猜测或暴力破解管理密
码。该测试目的是找到管理接口，并了解是否可以利用它获取管理员权限。
8. HTTP方法和XST测试
在该项测试中，需确保应用服务器没有被配置成允许使用具有潜在危险性的 HTTP 命
令（方法），同时确保跨网站追踪攻击（XST）是不存在的。
认证测试
1.加密信道证书传输
了解用户输入和传输中的数据，例如，为了登录到一个网站而输入的数据，是否使用
了安全协议传输，以免受到攻击。
2.用户枚举测试
该项测试的范围是为了验证是否有可能通过与应用的认证机制互动而收集一套有效的
用户。该项测试将是有益于暴力测试。通过该项测试可验证是否通过一个有效的用户名即
可找到相应的密码。
3.可猜解用户帐户猜测（遍历）测试
测试是否有默认的用户帐户或可以猜测的用户名/密码组合（遍历测试）。
4.暴力测试
POWERED BY ShopEx 17 SOLUTION
## Page 21
当遍历攻击失败，测试者可尝试使用暴力方法获得验证。
5.认证架构绕过测试
其它被动测试方法企图绕过身份的认识验证模式，因为他们认为并非所有的应用程序
的资源都能得到充分的保护。测试者能够在没有认证的情况下访问这些资源。
6.记住密码和密码重置弱点测试
测试应用如何管理“忘记密码”过程。检查应用是否允许用户在浏览器中存储密码
（“记住密码”功能）。
7.CAPTCHA测试
CAPTCHA是一种许多Web的应用程序使用的挑战响应测试，以确保反应不是由计算
机生成。即使产生的captcha是牢不可破的，其执行经常遭受各种攻击。
8.多因素身份验证测试
多因素身份验证主要测试以下情况：一次性密码(OTP)所生成的验证码，加密设备，
如 USB 验证码或配备了 X.509 证书的智能卡，通过SMS 发送的随机一次性密码，只有合
法用户知道的个人信息[OUTOFWALLET] 。
9.竞态条件测试
竞态条件是一个缺陷。当行动的时间影响了其它行动时，它会产生意想不到的结果。
授权测试
1.路径遍历测试
测试是否可执行路径遍历攻击并获得保留信息。
2.绕过授权模式测试
该测试的重点是核实如何对每一个角色/特权实施授权模式以便获得保留功能/资源。
3.权限提升测试
在此阶段，测试者需要确认用户不可能采用允许特权提升攻击的方式修改自己在应用
程序内部的特权/角色。
会话管理测试
POWERED BY ShopEx 18 SOLUTION
## Page 22
1.会话管理模式测试
分析会话管理模式，理解如何开发会话管理机制，并确定是否能打破该机制以便绕过
用户会话。测试发送给客户端浏览器的会话验证码的安全：如何对cookie实行反向工程，
以及如何通过篡改cookies来劫持会话。
2.会话固定测试
当应用程序在成功验证用户后不更新会话标识时，可找到会话固定漏洞并迫使用户使
用攻击者已知的会话标识。
3.会话变量泄露测试
因为会话验证码联系着用户身份和用户会话，所以它代表的是保密信息。可测试会话
验证码是否暴露在漏洞中，并试着追溯会话攻击。
4.跨站请求伪造（CSRF）测试
跨站请求伪造描述了在应用中迫使已通过验证的未知用户执行不必要请求的方法。
数据验证测试
1.跨站点脚本的测试
在跨站脚本攻击（XSS）的测试中，我们测试能否操纵应用程序参数输入，使之产生
恶意输出。当应用程序没有验证输入数据并可在控制下产生输出时，即可产生 XSS 漏洞。
此漏洞会产生各种攻击。例如，窃取机密信息（如会话cookie）或控制受害者的浏览器。
2.SQL注入
SQL 注入测试检测是否有可能将数据注入到应用程序中，以便它能在后端数据库中执
行用户控制的 SQL 查询。如果应用程序在没有恰当验证数据的情况下使用用户输入创建
SQL查询，那说明该应用程序存在SQL注入漏洞。成功利用这一类别的漏洞会导致未授权
用户访问或操作数据库中的数据。
3.LDAP注入
LDAP注入测试类似于SQL注入测试。不同之处在于不是使用SQL而是使用LDAP协
议，同时测试的目标是LDAP服务器，而不是SQL服务器。
POWERED BY ShopEx 19 SOLUTION
## Page 23
4.ORM注入
ORM注入测试同样类似于SQL注入测试。在该情况下，使用SQL注入攻击ORM产
生的数据访问对象模型。
5.XML注入
XML注入测试检测是否有可能在应用程序中注入特定的XML文档。如果XML解析器
没有验证任何数据，那么该应用程序存在XML注入漏洞。
6.SSI注入
应用服务器通常让开发者在静态 HTML 网页中增加小型动态代码，而不必处理全面的
服务器端或客户端语言。SSL注入检测是否有可能在应用程序中注入SSI机制解释的数据。
7.XPath注入
XPath是针对部分XML文件而设计和开发的语言。XPath注入测试检测是否有可能在
应用程序中注入数据，以便执行用户控制的XPath查询。
8.IMAP/SMTP注入
该威胁影响到所有与邮件服务器（IMAP/SMTP）连接的应用程序，通常是 Webmail
应用程序。由于输入没有得到验证，IMAP/SMTP 注入测试检测是否有可能在邮件服务器
中注入任意的IMAP/SMTP命令。
9.Code注入
代码注入测试检测是否有可能在应用程序中注入稍后由web服务器执行的代码。
10.OS命令
在命令注入测试中，通过HTTP请求在应用程序中注入OS命令。
11.缓冲区溢出
在该测试中，主要检查不同类型的缓冲区溢出漏洞。常见的缓冲区溢出漏洞的测试方
法：堆溢出；栈溢出；字符串格式。
12.潜伏式漏洞测试
潜伏式测试是需要多个数据验证漏洞工作的复杂的测试，需要一个以上的数据验证漏
POWERED BY ShopEx 20 SOLUTION
## Page 24
洞工作。在每一个显示的模式中，应用程序应该在信任和处理这些数据前对数据进行验
证。测试目的是验证应用程序实际上是否执行了验证并且不信任其输入数据。
拒绝服务攻击的测试
1.SQL通配符攻击测试
SOL通配符攻击是利用几个通配符强制数据库执行占用大量CPU 处理时间的查询密集
队列。该漏洞通常存在于网络应用程序的搜索功能。成功的攻击操作会引起阻断服务攻
击。
2.锁定用户账户
检查攻击者能否通过重复尝试用错误密码登陆，导致合法用户账户被锁定。
3.缓存溢出
检查能否在溢出目标应用的一个或多个数据结构的环境下引起阻断服务攻击。
4.分配用户指定对象
检查是否有可能使用分配大量对象的方法来耗尽服务器资源。
5.将用户输入作为循环计数器
检查是否可能让应用强制循环一段需要很多计算机资源的代码，目的是减弱总体性
能。
6.将用户提供的数据写到磁盘
检查是否能通过在目标磁盘中写满日志来构造DoS环境。
7.释放资源失败
检查应用程序在使用后是否适当的释放资源（文件或内存）。
8.存储过多会话数据
检查是否可以通过向用户会话分配大数量的数据来耗尽内存资源。
POWERED BY ShopEx 21 SOLUTION
## Page 25
3.3.APP端渗透测试
3.3.1.测试的必要性及收益
APP在开发过程往往由于工程师粗心等原因，在APP中留下安全问题，这些漏洞一担
被黑客发现就会被用来窃取用户数据或是盗取用户资金，给用户和企业带来极大损失。从
必要性及收益角度分析来看：
必要性：APP开发过程存在漏洞，有泄露用户信息或用户资金被盗风险
收益：保证用户信息、资金安全，提升企业知名度
3.3.2.测试范围
企业安卓和IOS客户端。
3.3.3.测试原理
由安全专家对App应用进行全方位的渗透测试，发现和弥补应用系统存在的弱点。安
全专家模拟黑客使用对 APP 进行逆向等一系列的分析检测，全面查找 APP 存在的漏洞，
评估漏洞对企业平台功能或资产可以造成的损害，进而评估对企业业务的影响。原理如图
32所示：
图 32 web应用层渗透测试原理图
3.3.4.测试标准
表 35 OWASP 手机漏洞TOP10
序号 英文 中文
POWERED BY ShopEx 22 SOLUTION
## Page 26
M1 Weak Server Side Controls 不安全的服务器端访问控制
M2 Insecure Data Storage 不安全的数据存储
M3 Insufficient Transport Layer Protection 传输层保护不足
M4 Unintended Data Leakage 非预期的数据泄露
M5 Poor Authorization and Authentication 脆弱的认证和授权
M6 Broken Cryptography 已知的弱加密算法
M7 Client Side Injection 客户端注入
M8 Security Decisions Via Untrusted Inputs 通过不被信任的输入改变安全设
定
M9 Improper Session Handling 会话处理不当
M10 Lack of Binary Protections 缺乏二进制保护
3.3.5.测试内容
APP 端渗透测试是通过模拟恶意黑客的攻击方法，来评估 APP 端安全的一种评估方
法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻
击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。其中主要内容
如下：
▋应用层
◆ 数据包捕获检测分析；
◆ 登录密码验证次数测试；
◆ 密码或账户登陆错误提示混淆；
◆ 敏感信息泄露；
◆ 键盘记录测试；
◆ 手机屏幕截屏测试；
▋数据传输测试
POWERED BY ShopEx 23 SOLUTION
## Page 27
◆ 关键数据加密；
◆ 客户端对服务器验证、传输加密、伪造；
◆ 数据合法性校验；
◆ 加密是否可逆，可篡改；
◆ 是否保存手机号、密码等敏感信息；
◆ 日志中是否存敏感信息；
◆ 数据是否能被别的应用访问；
◆ 硬编码、日志、内存、调试信息、组件等信息访问；
▋中间层
◆ 配置文件登录帐号本地保存检测；
◆ 数据库信息明文保存；
◆ 安装目录文件及文件夹权限检测；
▋反汇编底层检测
◆ android之java反编译检测；
◆ androidmanifest.xml之activity 事件监测；
◆ androidmanifest.xml之Broadcast Receiver 事件监测；
◆ androidmanifest.xml之intent 事件监测；
◆ 编译后敏感函数审查；
◆ 重要函数、逻辑、加密算法；
◆ 是否开启PIE Flag；
▋安全增强测试
◆ 服务器端安全测试；
◆ 键盘劫持测试；
◆ 进程保护测试；
◆ 第三方SDK安全测试；
POWERED BY ShopEx 24 SOLUTION
## Page 28
◆ 组件安全测试；
▋安全策略测试
◆ 密码策略测试；
◆ 登陆次数限制；
◆ 密码保护机制；
◆ 会话保护策略；
3.4.API渗透测试
3.4.1.测试的必要性及收益
API 接口由于其本身的特殊性，一般隐藏在后端不容易被发现，所以测试人员和开发
人员的重视程度往往也不够，这就可能在其中留下诸多安全隐患，这些漏洞一担被黑客发
现就会被用来窃取用户数据或是盗取用户资金，给用户和企业带来极大损失。从必要性及
收益角度分析来看：
必要性：API接口无法构建session，因此容易泄露用户信息
收益：保证用户信息、资金安全，提升企业知名度
3.4.2.测试范围
企业提供的特定API接口进行测试进行渗透测试。
3.4.3.测试原理
由安全专家对 API 接口应用进行全方位的渗透测试，发现和弥补应用系统存在的弱
点。安全专家模拟黑客使用对 API 接口进行一系列的分析检测，全面查找 API 接口存在的
漏洞，评估漏洞对企业平台功能或资产可以造成的损害，进而评估对企业业务的影响。原
理如图 33所示：
POWERED BY ShopEx 25 SOLUTION
## Page 29
图 33 API接口渗透测试原理图
3.4.4.测试标准
表 36 OWASP WEB漏洞TOP10
序号 英文 中文
A1 Injection 注入
A2 Broken Authentication and Session 失效的身份认证和会话管理
Management
A3 Cross-Site Scripting (XSS) 跨站脚本（ XSS）
A4 Insecure Direct Object References 不安全的直接对象引用
A5 Security Misconfiguration 安全配置错误
A6 Sensitive Data Exposure 敏感信息泄露
A7 Missing Function Level Access Control 功能级访问控制缺失
A8 Cross-Site Request Forgery (CSRF) 跨站请求伪造 （ CSRF）
A9 Using Components with Known 使用含有已知漏洞的组件
Vulnerabilities
A10 Unvalidated Redirects and Forwards 未验证的重定向和转发
3.4.5.测试内容
API 渗透测试是通过模拟恶意黑客的攻击方法，来评估 API 安全的一种评估方法。这
个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可
POWERED BY ShopEx 26 SOLUTION
## Page 30
能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。其中主要内容如下：
▋接口特性测试
◆ 接口是否有频率限制；
◆ 接口数据是否抵御重放攻击；
◆ 接口数据是否有完整性校验；
◆ 接口数据传输是否加密；
◆ 接口是否存在逻辑缺陷；
▋配置管理测试
◆ SSL/TLS测试；
◆ 数据库监听测试；
◆ 基础结构配置管理测试；
◆ 应用配置管理测试；
◆ 文件扩展名处理测试；
◆ 过时的、用于备份的以及未被引用的文件；
◆ 基础结构和应用管理接口；
◆ HTTP方法和XST测试；
▋认证测试
◆ 加密信道证书传输；
◆ 用户枚举测试；
◆ 可猜解用户帐户猜测（遍历）测试；
◆ 暴力测试；
◆ 认证架构绕过测试；
◆ 记住密码和密码重置弱点测试；
◆ CAPTCHA测试；
◆ 多因素身份验证测试；
POWERED BY ShopEx 27 SOLUTION
## Page 31
◆ 竞态条件测试；
▋授权测试
◆ 路径遍历测试；
◆ 绕过授权模式测试；
◆ 权限提升测试；
▋会话管理测试
◆ 会话管理模式测试；
◆ 会话固定测试；
◆ 会话变量泄露测试；
◆ 跨站请求伪造（CSRF）测试；
▋数据验证测试
◆ 跨站点脚本的测试；
◆ SQL注入；
◆ LDAP注入；
◆ ORM注入；
◆ XML注入；
◆ SSI注入；
◆ XPath注入；
◆ IMAP/SMTP注入；
◆ Code注入；
◆ OS命令；
◆ 缓冲区溢出；
◆ 潜伏式漏洞测试；
▋拒绝服务攻击测试
◆ SQL通配符攻击测试；
POWERED BY ShopEx 28 SOLUTION
## Page 32
◆ 锁定用户账户；
◆ 缓存溢出；
◆ 分配用户指定对象；
◆ 将用户输入作为循环计数器；
◆ 将用户提供的数据写到磁盘；
◆ 释放资源失败；
◆ 存储过多会话数据；
POWERED BY ShopEx 29 SOLUTION