基礎設施滲透測試

評估網路和系統基礎設施的安全措施。 評估主要重點是基礎設施組件,例如 內部伺服器、網路設備及各類支撐系統 在企業網路內。本次測試的目的是 識別基礎設施中的漏洞並評估 進一步利用的潛力,從而提供見解 對業務可能產生的影響。

基礎設施測試方法

網路掃描

這涉及使用工具發現活躍 設備、開放連接埠以及網路上運作的服務。

漏洞掃描

使用自動化工具掃描系統以 已知漏洞、過時的軟體以及 錯誤配置。

內部滲透測試

在組織內部進行 網絡,這種類型的測試檢查的安全性 內部系統、配置和使用者權限 尋找內部人員可能利用的漏洞 威脅。

外部滲透測試

這模擬了來自外部的攻擊 組織,試圖利用 可公開存取的系統和服務來評估 防禦外部威脅。

行動應用程式滲透測試

旨在識別行動應用環境中的漏洞, 特別是針對 iOS、Android 和 HarmonyOS 平台。這 過程包括動態測試,包括執行 應用程式尋找運行時漏洞,以及靜態 測試,分析應用程式的程式碼和結構 沒有執行。此外,測試還評估 支援業務功能的後端API服務。它 包括對潛在弱點的徹底分析 客戶端應用程式、伺服器(API)和通信 伺服器和客戶端之間的通道。

行動應用程式測試方法

靜態分析

這涉及檢查申請的 原始碼、二進位檔案和設定文件,無需 執行該應用程式。

動態分析

在這種方法中,應用程式是 在受控環境中執行,且行為 受到即時監控。動態測試有助於 識別運行時漏洞,例如不安全的 API 通話、身份驗證問題和資料外洩。

API 測試

由於行動應用程式嚴重依賴 後端 API,這種方法著重於測試 API 尋找安全漏洞。

逆向工程

該技術涉及反編譯 行動應用程式來了解其內部工作原理。 透過分析應用程序,測試人員可以發現 安全漏洞、硬編碼憑證和敏感資訊 數據管理問題。

網路測試

這種方法評估 行動應用程式與後端之間的資料傳輸 伺服器.測試人員分析通訊協議 使用並檢查不安全數據等漏洞 傳輸、中間人 (MitM) 攻擊,以及 證書驗證不正確。

客戶端測試

這種方法檢查客戶端 行動應用程式的實施。其中包括 測試加密不足、弱等問題 身份驗證機制以及對常見 程式碼注入和未經授權的移動攻擊 存取設備資源。

網頁應用程式滲透測試

一種重點滲透測試,旨在識別 網頁應用程式中的漏洞並評估其潛力 對業務的影響。這個過程不僅可以識別 系統中存在技術缺陷和邏輯漏洞,但 也有助於評估對企業可能造成的影響 如果這些漏洞被真正的 攻擊者。

網頁應用程式測試方法

應用程式邏輯和設計缺陷

評估功能濫用和 識別應用程式中的邏輯缺陷 流程。

身份驗證攻擊

測試與以下相關的漏洞 暴力破解嘗試、密碼驗證不充分、 和用戶枚舉。

授權

評估憑證檢查不足, 存取控制缺陷和會話管理控制 確保適當的存取等級。

注入攻擊

識別注入攻擊(例如 SQL 注入、伺服器端範本注入、XML 外部實體注入)可能導致 未經授權的命令執行。

内存管理

評估内存處理的安全性 機制,包括會話固定和劫持 漏洞。

資料外洩

識別敏感數據 可能洩漏或保護不充分,例如透過 錯誤處理不當或資訊外洩。

客戶端漏洞

已識別跨站腳本、HTML 注入和跨站請求偽造