logo资料库

安全测试报告.pdf

发布时间：2022-06-21 发布人：admin 分类：说明书 资料大小：1.08M 资料格式：pdf 举报 版权申诉
第1页 / 共109页
第2页 / 共109页
第3页 / 共109页
第4页 / 共109页
第5页 / 共109页
第6页 / 共109页
第7页 / 共109页
第8页 / 共109页
资料共109页，剩余部分请下载后查看
    Web 应用程序报告 该报告包含有关 web 应用程序的重要安全信息。 安全报告安全报告 该报告由 IBM Security AppScan Standard 创建 9.0.2.1, 规则： 1932 扫描开始时间： 2016/8/11 16:16:01
    目录 介绍介绍 一般信息 登陆设置 管理综合报告 管理综合报告 问题类型 有漏洞的 URL 修订建议 安全风险 原因 WASC 威胁分类 按问题类型分类的问题 按问题类型分类的问题 23 23 跨站点请求伪造 4 Missing "Content-Security-Policy" header Missing "X-Content-Type-Options" header Missing "X-XSS-Protection" header 查询中接受的主体参数 1 发现数据库错误模式 1 缺少跨帧脚本编制防御 4 发现可能的服务器路径泄露模式 4 潜在文件上载 1 应用程序错误 6 整数溢出 6 23 2016/8/11 1
    介绍 该报告包含由 IBM Security AppScan Standard 执行的 Web 应用程序安全性扫描的结果。 4 中等严重性问题： 75 低严重性问题： 17 参考严重性问题： 报告中包含的严重性问题总数： 96 扫描中发现的严重性问题总数： 96 一般信息一般信息 扫描文件名称： ecm 扫描文件名称： 扫描开始时间： 2016/8/11 16:16:01 扫描开始时间： 主机主机 测试策略： 测试策略： Default 172.30.11.31 Win32 操作系统： 操作系统： Web 服务器：服务器： IIS 应用程序服务器： Any 应用程序服务器： 登陆设置登陆设置 登陆方法： 登陆方法： 并发登陆： 并发登陆： JavaScript 执行文件： 执行文件： 已启用 会话中检测： 会话中检测： 记录的登录 已启用 已启用 >▶ 注销< 会话中模式： 会话中模式： 跟踪或会话标识 cookie：： ASP.NET_SessionId 跟踪或会话标识 跟踪或会话标识参数： 跟踪或会话标识参数： 登陆序列： 登陆序列： .ASPXAUTH ValidateCode http://172.30.11.31:9000/Ecm http://172.30.11.31:9000/Account/LogOn?ReturnUrl=/Ecm http://172.30.11.31:9000/Account/LogOn?ReturnUrl=/Ecm http://172.30.11.31:9000/Ecm http://172.30.11.31:9000/Ecm/Home/ContractTodo 2016/8/11 2
    http://172.30.11.31:9000/WF/BusinessWorkflow/ToDoJson/64 http://172.30.11.31:9000/Account/LogOff?sourceSiteId=2 http://172.30.11.31:9000/Ecm http://172.30.11.31:9000/Account/LogOn?ReturnUrl=/Ecm 2016/8/11 3
    管理综合报告 问题类型问题类型 11 问题类型问题类型 中 跨站点请求伪造 低 Missing "Content-Security-Policy" header 低 Missing "X-Content-Type-Options" header 低 Missing "X-XSS-Protection" header 低 查询中接受的主体参数 低 发现数据库错误模式 低 缺少跨帧脚本编制防御 参 发现可能的服务器路径泄露模式 参 潜在文件上载 参 应用程序错误 参 整数溢出 有漏洞的有漏洞的 URL 25 URL 问题的数量 问题的数量 4 23 23 23 1 1 4 4 1 6 6 问题的数量 问题的数量 中 http://172.30.11.31:9000/Ecm/CorpTrader/Create 中 http://172.30.11.31:9000/Ecm/CorpTrader/QueryForWiseOnline 中 http://172.30.11.31:9000/Ecm/Watermark/Create 中 http://172.30.11.31:9000/Ecm/Watermark/Query 低 http://172.30.11.31:9000/Ecm 低 http://172.30.11.31:9000/Ecm/CorpTrader 低 http://172.30.11.31:9000/Ecm/CorpTrader/WiseOnlineIndex 低 http://172.30.11.31:9000/Ecm/EnterPriceContract 低 http://172.30.11.31:9000/Ecm/EnterPriceContract/BeforeCreate 低 http://172.30.11.31:9000/Ecm/EnterPriceContract/Create 低 http://172.30.11.31:9000/Ecm/Home/ContractCreate 6 5 6 5 3 3 3 3 7 8 3 2016/8/11 TOC TOC 4
    低 http://172.30.11.31:9000/Ecm/Home/ContractDelegate 低 http://172.30.11.31:9000/Ecm/Home/ContractDetail 低 http://172.30.11.31:9000/Ecm/Home/ContractDone 低 http://172.30.11.31:9000/Ecm/Home/ContractDraft 低 http://172.30.11.31:9000/Ecm/Home/ContractRetrieve 低 http://172.30.11.31:9000/Ecm/Home/ContractSuspend 低 http://172.30.11.31:9000/Ecm/Home/ContractToDo 低 http://172.30.11.31:9000/Ecm/Home/ContractTodo 低 http://172.30.11.31:9000/Ecm/ProjectInfo 低 http://172.30.11.31:9000/Ecm/ProjectInfo/Create 低 http://172.30.11.31:9000/Ecm/Watermark 低 http://172.30.11.31:9000/Ecm/WiseOnlineCustomContract 参 http://172.30.11.31:9000/Ecm/CorpTrader/Query 参 http://172.30.11.31:9000/Ecm/ProjectInfo/Query 3 7 3 3 3 3 3 3 3 5 3 3 1 1 修订建议修订建议 10 修复任务修复任务 问题的数量 问题的数量 中 拒绝恶意请求 低 Config your server to use the "Content-Security-Policy" header 低 Config your server to use the "X-Content-Type-Options" header 低 Config your server to use the "X-Frame-Options" header 低 Config your server to use the "X-XSS-Protection" header 4 23 23 4 23 1 1 低 请勿接受在查询字符串中发送的主体参数 低 为 Web 服务器或 Web 应用程序下载相关的安全补丁 4 低 验证参数值是否在其预计范围和类型内。不要输出调试错误消息和异常 12 1 低 查看危险字符注入的可能解决方案 低 在文件上传过程中限制用户的能力和许可权 安全风险安全风险 8 风险风险 问题的数量 问题的数量 中 可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从 4 而使黑客能够以该用户身份查看或变更用户记录以及执行事务 低 可能会收集有关 Web 应用程序的敏感信息，如用户名、密码、机器名 和/或敏感文件位置 74 2016/8/11 TOC TOC 5
    低 可能会劝说初级用户提供诸如用户名、密码、信用卡号、社会保险号等 敏感信息 低 可能会查看、修改或删除数据库条目和表 参 可能会检索 Web 服务器安装的绝对路径，这可能会帮助攻击者开展进一 步攻击和获取有关 Web 应用程序文件系统结构的信息 参 可能会在 Web 服务器上运行远程命令。这通常意味着完全破坏服务器及 其内容 参 可能会在 Web 服务器上上载、修改或删除 Web 页面、脚本和文件 参 可能会收集敏感的调试信息 74 1 4 1 1 12 问题的数量 问题的数量 4 75 1 4 12 12 问题的数量 问题的数量 1 1 4 84 6 原因原因 6 原因原因 中 应用程序使用的认证方法不充分 低 Web 应用程序编程或配置不安全 低 未对用户输入正确执行危险字符清理 参 未安装第三方产品的最新补丁或最新修订程序 参 未对入局参数值执行适当的边界检查 参 未执行验证以确保用户输入与预期的数据类型匹配 WASC 威胁分类威胁分类 威胁威胁 SQL 注入 功能滥用 跨站点请求伪造 信息泄露 整数溢出 2016/8/11 TOC TOC 6
    按问题类型分类的问题 中 跨站点请求伪造 4 问题 1 / 4 跨站点请求伪造 跨站点请求伪造 TOC TOC 严重性：严重性： 中中 CVSS 分数：分数： 6.4 URL：： 实体：实体： 风险：风险： http://172.30.11.31:9000/Ecm/CorpTrader/QueryForWiseOnline QueryForWiseOnline (Page) 可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查 看或变更用户记录以及执行事务 原因：原因： 应用程序使用的认证方法不充分 固定值：固定值： 拒绝恶意请求 推理：推理： 测试结果似乎指示存在漏洞，因为右侧的测试响应与左侧的原始响应完全相同，而后者指示跨站点 请求伪造尝试成功，尽管其中有假想的“Referer”头。 原始响应原始响应 测试响应测试响应 ≈ 2016/8/11 7
    分享到：
    赞 收藏

    相关推荐

    资料库

    移动开发

    共收录1376份资料，累计14个分类，关注成员有19位，主要包括：IOS,Symbian,webOS,WindowsPhone,小程序,Flash,BlackBerry,bada,JavaME,HTML5,iOS,Android,QT,其它

    热门标签

    IOS Symbian webOS WindowsPhone 小程序 Flash BlackBerry bada JavaME HTML5 iOS Android QT 其它

    最新资料