網絡安全測評中Web應用安全滲透測試方法分析

王鑫

摘要：滲透測試是網絡安全測評工作中的實踐補充及論證，其可以對網絡安全的風險評定提供更多有力的參考依據及支撐。基于此，文章首先對Weh應用的基本理論展開詳細分析，重點闡述網絡安全測評中Weh應用安全滲透測試的具體方法．通過研究可以發現，安全滲透測試方法在網絡安全測評中具有良好的應用效果，可以幫助人們有效識別系統程序中的隱患，增強安全防護工作效果。

關鍵詞：網絡安全測評：Web應用：安全滲透：測試方法

中圖分類號：TN915

文獻標志碼：A

0 引言

從整體視角來看，在網絡安全測評當中對Weh應用安全展開一系列滲透檢測，可以在根本上發現系統程序存在的隱患問題，這也是有效落實網絡安全法、實現安全防護需求的重要途徑。

1

Web應用的基本概述

1.1 Weh應用框架

一般情況下，Weh應用程序的組成部分主要包括表示層、邏輯層和數據層等，如圖1所示。在操作人員實際應用各類程序期間．Weh應用可以在瀏覽器位置朝向服務器端口提出一系列需求響應與反饋信息。服務器端口在接受各類響應信息后便可以在第一時間加以解決與處理，將整體響應信息成果清晰地呈現在操作人員眼前。

首先，表示層主要指的是系統應用與操作人員實現有效交互的銜接口，此層次的優勢在于可以有效篩查并合理選擇操作人員按鍵后呈現出的各類信息，將最終的數據信息在第一時間傳遞至邏輯層次內部。另外，此層面還可以充分展現出反饋邏輯層已經處理完畢的信息內容。其次，邏輯層的具體位置主要在表示層和數據層夾層當中，其所具備的功能作用包括接受由表示層傳遞的數據并加以處理和分析。邏輯層由應用服務器和Web服務器兩個板塊組成。此層在數據層與表示層間充分展現出自身調用者及被調用者價值效用，因此邏輯層在整體分層模型結構當中占據著至關重要的地位。最后，數據層往往會在程序與數據庫完成高度聯合及連接后，針對已經處理完畢的數據信息進行科學化、合理化儲備管理，進而提升應用程序與數據庫彼此間形成的關聯效果，在充分考慮多種因素的前提條件下規避非法用戶的私人訪問板塊。由于儲存功能可以在根本上確保各類數據信息和操作人員資料內容的完整性、安全性。因此，Web應用需要在后續的開發設計應用階段中重點關注信息保護功能，這也是其后續發展期間需要重點關注的問題之一。

1.2

Weh應用威脅

一般情況下，結合Weh應用程序的體系框架特點而言，可以將其有效區分為上層、中層及下層等多個層級。在此期間，上層通常指的是與業務活動具有一定關聯性的程序內容，中層指的是與Weh服務器存在聯系的數據庫服務及底層操作系統等。在實際應用期間，任意一層發生安全隱患或風險問題后均會影響到整體Web應用系統，對其造成或多或少的制約性作用。隨著安全漏洞問題的動態化發展，往往會存在黑客及不法網絡分子運用公開漏洞侵入Web應用的各個層次內部，對其造成不同程度的侵擾與攻擊，比如利用小規模系統漏洞對下層操作系統展開嚴重攻擊和侵害，利用Weh服務器腳本程序問題開展中層系統的入侵與攻擊等[1]。

2 網絡安全測評中Web應用安全滲透測試方法

2.1 安全滲透測試技術類型

2.1.1 操作系統探測技術

從整體視角來看，安全漏洞及安全隱患與操作系統的版本、類型等其他參數呈現出基本相同的特點。在此情況下，運用操作系統探測技術對目標主機整體數據信息進行收集處理，可以在一定程度上縮小漏洞檢測工作的覆蓋范圍[2]，安全滲透測試T-作的人力、物力及財力資源消耗量也因此而降低，在根本上促使安全滲透測試工作凸顯出顯著的應用效果。由此可見，探測操作系統信息是安全滲透測試工作中的核心部分，其通常涵蓋3項差異化技術種類，分別為標識信息探測技術、操作系統指紋探測技術和lCMP響應分析探測技術等。首先，標識信息探測技術在實際應用過程中的具體原理和理論知識，體現在工作人員運用操作系統內部的多樣化程序、數字命令等對主機系統涉及的各類信息展開科學化、綜合化預測評估及檢查審核。其次，操作系統指紋探測技術通常是指對版本、類別各不相同的操作系統中存在的細微差別加以識別，在此基礎上對操作系統信息加以探測，可以將各類信息完全整合為一體化指紋特征庫，向目標主機輸送眾多構造式數據包，進而獲取相應的被測主機反饋信息，將反饋信息與指紋特征庫展開精準化對比分析，從而科學判斷被測主機操作系統相關信息。最后，ICMP響應分析探測技術在投入應用過程中所彰顯出的優勢，體現在針對被測主機系統傳輸相應的操作請求或服務反饋，在此基礎上對被測主機應答數據信息展開進一步收集探究和分析處理，全面識別并判斷被測主機操作系統現存的類型、版本等其他關聯參數[3]。

2.1.2 漏洞掃描技術

在進行Web程序漏洞問題深度掃描清理工作過程中，一些工作人員和測試人員往往會運用主動掃描或被動掃描兩種掃描模式。在此情況下，主動掃描還有另外一種說法被稱為網絡安全掃描，其在實際應用期間主要通過一系列仿真模擬手法，使用一些腳本文件模擬對系統產生攻擊效果，將攻擊階段中被測系統作出的反應信息進行詳細的記錄，進而探究被測試系統的漏洞形成流程。被動式策略也被稱為系統安全掃描，其通常建立于目標主機全方位檢測工作基礎之上，其中全面涵蓋了系統配置不科學的信息數據及安全規則抵觸對象的檢查。一般情況下，針對Weh應用漏洞檢測技術主要包括以下幾種類型。（1）基于應用的檢測技術。此項檢測技術通過運用非破壞性檢測方法對Weh應用開展一系列漏洞檢測操作，以便于幫助操作人員可以全面了解并掌握被測應用存在參數配置不妥、文件缺失等安全隱患。（2）基于主機的檢測技術。此檢測技術通過運用被動型操作方法對被測主機進行漏洞檢測。運用此項技術可以精準定位與主機相關聯的安全隱患。其檢測對象通常涵蓋了重要文件、內部程序及系統補丁文件等部分的屬性信息和相關數據，但是此項檢測技術在投入使用階段中仍然凸顯出一定的欠缺性問題，主要體現在其自身的復雜程度相對較高[4]。

2.1.3 端口掃描技術

端口掃描技術是安全滲透測試階段中展開信息數據收集的方法之一，通過此種方法可以精準定位目標主機所開放的端口位置，進而明確目標主機開放端口對應的軟件版本信息，為后續測試工作的順利開展打下良好的基礎。現如今，較為常用的端口掃描技術主要涉及TCP SYN、UDP掃描、TCP Connect及TCPACK等，還有部分依賴于指定性平臺的高級端口掃描技術如Idle、Maimon等。在此期間，TCP Connecl是一種最為基本性的TCP掃描技術，掃描程序通過創建Connect系統加以調用，促使本機與被掃描主機形成高效銜接，如果目標計算機所對應的端口始終保持為監聽狀態，便可以在短時間內有序構建Connecc連接，否則便呈現為連接失敗。此技術優勢特點體現在掃描程序對Connecc系統調用比原始報文的控制程序更加簡便，而且不會受到諸多應用權限的約束與限制，任何操作人員都可以對此函數展開科學化調用。

在開展端口掃描階段中，掃描程序通常會為了規避部分防火墻、入侵檢測系統對特定端口的監控，往往會運用比SYN掃描技術更加隱蔽的掃描技術，如TCP FIN掃描技術等。此項技術完全摒棄了與TCP銜接的環節，而且FIN數據包還會精準通過IDS的全方位檢測程序。TCP FIN掃描技術的具體流程是在掃描程序輸送FIN數據包后，當應用程序在短時間內接受RST信息信號，程序便認為測試端口處在完全關閉的狀態，如果沒有受到任何數據信號，程序便認為測試端口為開放或已經過濾。

2.2基本步驟

2.2.1 前期交互

此工作環節主要由委托人與測試者根據滲透測試的關鍵性問題展開細致化溝通考慮，以此來明確安全滲透測試的具體范圍及方向。此環節的中心任務體現在收集委托人員所提供的相關信息，促使委托人員針對安全滲透測試需要涉及的范圍與方向產生正確的認知。與此同時，項目管理者需要及時構建J}{科學完善的安全滲透測試規劃章程，為各個測試小組人員合理分配崗位工作[5]。

2.2.2 信息搜集

在對Web應用展開安全滲透測試前．工作人員需要全面收集相關的信息數據，運用whois全面查詢對管理者個人資料展開收集、運用漏洞掃描器對被測目標展開漏洞檢測等相關操作工作，在必要時刻測試人員也需要科學運用社會工程學展開必要信息的搜集處理。

2.2.3 團隊內部交流

信息數據采集工作順利完成后，測試隊伍中的各個工作人員應結合實際情況對匯總完畢的信息數據展開進一步匯報分析，對價值信息等進行統一化處理解決，在此基礎上開展團隊工作者彼此間的討論及互動，在根本上提高測試方案構建的科學性、合理性及完善性，進一步為安全滲透測試方案的提出打下良好的基礎。

2.2.4 漏洞分析

測試人員運用信息搜集期間所獲取的數據內容展開精準化分析及漏洞挖掘，可以構建出被利用的弱口令等風險隱患統一化集合點。測試工作者可以根據具體漏洞問題類型、特性展開代碼攻擊等相應開發工作。通過此種方法不難看出，漏洞分析是開展攻擊階段中不可忽視的環節之一。

2.2.5 滲透攻擊

當信息采集工作和漏洞探究分析工作網滿結束期間，測試工作者需要結合實際情況迅速探究與測試對象存在一定聯系的安全漏洞，對其開展科學、完善的滲透測試處理，以此來獲取被測系統的進入權限、分析權限及使用權限等。測試過程中必需的代碼及安全工具可以由企業內部專業化團隊組織進行設計開發。

2.3

Weh應用安全滲透測試內容

在安全滲透測試作業開展過程中，各部門測試人員所采用的思維邏輯、技術措施與惡意攻擊人員的思路基本類似，兩者在滲透測試期間均致力于探索Weh應用的關鍵突破點，而存在的差異化問題體現在測試人員不會像黑客及網絡不法分子一樣對系統展開猛烈的攻擊行為，如盜取信息、破壞程序等。安全滲透測試人員通常需要在充分考慮滲透流程標準制度的前提下，對Web應用開展多樣化滲透測試。

2.4

Weh應用安全滲透測試存在的問題

結合相關調查研究可以看出，網絡服務及社交媒體的迅猛發展在根本上改變了互聯網整體面貌[6]。隨著廣大人民群眾安全意識的提升及防范技術的成熟發展，網絡黑客逐漸將目光與注意力聚焦于Weh應用端方面。根據近年來互聯網安全態勢可以看出，2016年所受到的網絡威脅大部分以惡意App、DDOS攻擊和程序漏洞為主。現如今，根據惡意行為加以科學劃分可以看出，黑客運用網絡攻擊主要實現惡意扣費、流氓行為及白費消耗。由此可以看出，黑客技術的進一步提升為網絡用戶帶來了嚴重性影響與危害。

2.5

Weh應用安全滲透測試的具體策略

現如今，對Weh應用展開安全滲透測試的措施方法主要是在多樣化安全加密工具裝置的支持下，開展系統深層次檢測與識別處理，也可以積極采用代碼審計等措施手段對應用程序所具備的源碼進行一系列審計規范解決，幫助測試人員在第一時間查驗出編碼偏差問題及其他安全隱患等。利用檢測漏洞問題的最終成果合理明確漏洞隱患所體現出的影響程度，在開展安全滲透測試工作階段中，測試工作者需要提前熟知漏洞問題的產生位置、具體原因和基本原理，對其展開進一步研究與分析工作，全面了解并掌握漏洞問題所引發的一系列條件和影響趨勢。在此情況下，測試工作者可以在現代化科學技術的支持下構建網絡安全實驗平臺，在此基礎上對系統漏洞問題的發生流程及危害效果展開模擬仿真處理，以此來引導測試工作者真正意識到Web應用漏洞的檢測章程、檢測結果和原理知識的關鍵特點。

2.5.1 做好安全風險評估

在網絡與通信應用領域當中，科學實施安全防護需要提前做好風險問題的分析工作，進而對當下安全運行狀態展開進一步評估，以此來構建出科學有效的應對防范策略與方案，強化網絡系統安全風險的抵御能力。通過一系列安全測評，幫助工作人員熟練掌握網絡發展階段中存在的風險問題和薄弱點，對其展開針對性修復優化，進而創建出相對完善的安全網絡防護系統。

2.5.2 積極推進網絡安全治理現代化

在推進國家治理體系現代化方面來看，網絡安全治理現代化是一項不可忽視的發展趨勢，其在推動我國互聯網平臺可持續發展進程方面起到了不容小覷的價值作用。在綜合實踐當中需要將網絡安全與信息化發展并重的基本原則貫徹到底，并在此基礎上積極運用“依法管理”與“科學發展”的基本理念，做好人才培養和體系創建等方面工作。針對網絡與通信發展的新特點來看，相關企業單位需要積極設計研發全新的防護技術，在此基礎上構建出科學完善的安全防護屏障，切實提高網絡安全風險的預防能力，減少黑客侵入及網絡攻擊等不良問題，進而打造出安全水準相對較高的網絡通信框架。

3 結語

綜上所述，對于Web應用展開安全滲透測試技術可以呈現出不可忽視的價值作用，為了在根本上確保Web應用安全，相關人員需要針對所運用的新興技術給予足夠的關注與重視，幫助測試人員及時發現信息系統中存在的風險問題，保障Web應用信息系統實現安全可靠運行。另外，用戶可以積極構建出一系列漏洞預警機制和更新體系，在日常安全維護工作當中對關鍵系統展開科學化漏洞掃描，在明確系統信息安全的情況下更新補丁，通過多樣化預防措施提高被測系統的安全性。

參考文獻

[1]喬路．滲透測試在網絡安全等級保護測評中的應用研究[J]．科技創新與應用，2022（ 14）：159-162.

[2]張飛亞．論網絡安全等級保護測評工作中安全管理制度的落地缺失[J]．互聯網周刊．2022（7）：69-71.

[3]劉偉杰．網絡安全現場測評方法在信息安全等級保護測評中的應用[J]．電子元器件與信息技術，2022（3）：122-124．

[4]唐安明，袁曉舒，趙偉．工控網絡安全測評系統的設計與實現[J]．技術與市場，2022（1）：10-14．

[5]王洪磊，孫靜．探討云平臺背景下的網絡安全等級保護測評策略[J]．網絡安全技術與應用．2021（9）：89-90.

[6]齊英程．已公開個人信息處理規則的類型化闡釋[J]．法制與社會發展，2022（5）：210-224.

（編輯王永超）