渗透测试的报告之欧阳治创编.docx
《渗透测试的报告之欧阳治创编.docx》由会员分享，可在线阅读，更多相关《渗透测试的报告之欧阳治创编.docx（10页珍藏版）》请在冰豆网上搜索。
渗透测试的报告之欧阳治创编
时间2021.03.10
创作：
欧阳治
0x1概述
1.1渗透范围
1.2渗透测试主要内容
0x2脆弱性分析方法
0x3渗透测试过程描述
3.1遍历目录测试
3.2弱口令测试
3.3Sql注入测试
3.4内网渗透
3.5内网嗅探
0x4分析结果与建议
0x1概述
某时段接到xx网络公司授权对该公司网络进行模拟黑客攻击渗透,在xx年xx月xx日-xx年xx月xx日.对xx网络公司的外网服务器和内网集群精心全面脆弱性黑盒测试.完成测试得到此份网络渗透测试报告。
1.1渗透范围
此次渗透测试主要包括对象：
某网络公司外网web服务器.企业邮局服务器,核心商业数据服务器和内网办公网络系统。
1.2渗透测试主要内容
本次渗透中，主要对某网络公司web服务器,邮件服务器进行遍历目录,用户弱口令猜解，sql注入漏洞，数据库挖掘，内网嗅探,以及域服务器安全等几个方面进行渗透测试。
0x2脆弱性分析方法
按照国家工信部is900标准,采用行业内认可的测试软件和技术人员手工操作模拟渗透。
0x3渗透测试过程描述
3.1遍历目录测试
使用载入国内外3万多目录字典的wwwscan对web和邮件服务器进行目录探测。
得到探测结果。
主站不存在遍历目录和敏感目录的情况。
但是同服务器站点存在edit编辑器路径。
该编辑器版本过低。
存在严重漏洞。
如图
3.2用户口令猜解
Nmap收集到外网服务器ftp.使用默认的账号无法连接,于是对web和能登陆的界面进行弱口令测试,具体如下图
3.3sql注入测试
通过手工配合工具检测sql注入得到反馈结果如下图
根据漏洞类别进行统计，如下所示:
漏洞类别
高
中
低
风险值
网站结构分析
－
－
－
3
目录遍历探测
－
－
－
4
隐藏文件探测
－
－
－
3
CGI漏洞扫描
－
－
－
0
用户和密码猜解
－
－
－
10
跨站脚本分析
－
－
－
0
SQL注射漏洞挖掘（含数据库挖掘分析）
－
－
－
10
风险总值
30
3.4内网渗透
当通过外围安全一些列检测。
通过弱口令和注入2中方式进入管理后台。
抓包上传webshell得到后门开始提升权限。
当发现web服务器处于内网。
也正好是在公司内部。
于是收集了域的信息。
想从web入手抓取域管理Hash破解，无果。
所以只能寻找内网其他域管理密码。
内外通过ipc漏洞控制了2个机器。
获取到域管hash。
用metasploitsmb溢出也得到内网机器权限同样也获得域内管理hash。
用域管理hash登陆域服务器。
内网的权限全部到手。
3.5内网嗅探
当得到内网权限其实就可以得到许多信息。
但是主要是针对商业数据保密的原则。
就还需要对内网数据传输进行一个安全检测。
于是在内网某机器上安装cain进行嗅探得到一部分电子邮件内容信息和一些网络账号.具体看下图
0x4分析结果与建议
通过本次渗透测试可以看出.xx网络公司网络的安全防护结果不是很理想，在防注入和内网权限中存在多处漏洞或者权限策略做的不够得当。
本次渗透的突破口主要是分为内网和外网，外网设备存在多处注入和弱口令破解。
还有一方面原因是使用第三方editweb编辑器
产生破解账号的风险。
内网由于arp防火墙和域管得策略做的不是很严密。
导致内网沦陷。
因此。
对本次渗透得出的结论
Xx网络公司的网络”十分危险”
第一章五金行业概述2
1五金行业简介2
2五金行业特性2
3五金行业典型组织架构4
第二章五金行业现状和问题分析7
五金行业存在的管理特点7
五金行业管理重点与常见的困扰、8
第三章高格ANYV五金行业解决方案13
1总体目标13
2应用策略13
2.1指导思想13
2.2应用要求13
2.3实施方法论13
3方案特色14
4总体架构15
4.1技术架构15
4.2业务架构16
5工程技术基础数据管理17
5.1关键需求分析18
5.2关键需求方案19
5.3业务流程20
5.4关键业务控制25
5.5关键信息处理25
5.6应用效益27
6销售订单管理27
6.1关键需求分析27
6.2业务流程28
6.3关键业务控制30
6.4关键信息处理37
7出口管理38
7.1关键需求分析38
7.2关键需求处理38
7.3业务流程39
7.4关键业务控制46
7.5关键信息处理46
8供应商与采购管理46
8.1关键需求分析46
8.2业务流程47
8.3关键业务控制51
8.4关键信息处理52
9仓存管理流程52
9.1关键需求分析52
9.2关键需求方案53
9.3业务流程54
9.4关键业务控制65
9.5关键信息处理73
9.6应用效益73
10计划管理流程74
10.1关键需求分析74
10.2关键需求方案75
10.3业务流程75
10.4关键业务控制79
10.5关键信息处理80
10.6应用效益81
11生产任务及工序管理流程82
11.1关键需求分析82
11.2关键需求方案83
11.3业务流程83
11.4关键业务控制86
11.5关键信息处理87
11.6应用效益87
12委外加工作业流程89
12.1关键需求分析89
12.2关键需求方案90
12.3业务流程90
12.4关键业务控制92
12.5关键信息处理92
12.6应用效益93
13品质管理93
13.1关键需求分析93
13.2关键需求方案94
13.3关键业务流程95
13.4关键业务控制96
13.5关键信息处理100
13.6应用效益100
14账款管理102
14.1关键需求分析102
14.2关键需求方案103
14.3业务流程104
14.4关键信息处理107
14.5应用效益108
15发票管理109
15.1关键需求分析109
15.2关键需求方案109
15.3关键业务流程110
15.4关键信息处理115
15.5应用效益116
16固资管理117
16.1业务流程117
16.2关键业务控制118
16.3关键信息处理119
16.4应用效益119
17总账系统120
17.1业务流程120
17.2关键业务控制123
17.3关键信息处理124
17.4应用效益125
18出纳系统127
18.1关键需求分析127
18.2关键需求解决127
18.3业务流程127
18.4关键业务处理137
18.5关键信息处理137
19人薪管理137
19.1关键需求分析137
19.2关键需求方案138
19.3业务流程138
19.4关键业务控制143
19.5关键业务处理143
20成本管理144
20.1关键需求分析144
20.2关键需求方案144
20.3业务流程144
20.4关键业务控制159
第四章维护平台介绍163
4高格管理配置平台VOS－（AnyvOperationSystem）简述163
5高格管理配置平台VOS产品架构图163
6用户应用自定义配置功能（VOSUD-UserDefineTools）164
6.1自定义报表164
6.2查询方案配置166
6.3消息提醒配置（含短信）167
6.4自动侦错功能168
6.5权限配置168
7用户管理员工具（VOSAT-AdministratorTools）170
7.1系统参数字定义170
7.2作业流程SOP自定义171
7.3专案脚本语言171
7.4资料库更新工具172
7.5工作流引擎（WorkflowEngine）173
7.6帐套与规格设定175
7.7数据备份与还原工具176
8系统建模实施工具（VOSDP-DesignPlatform）177
8.1栏位自定义工具177
8.2功能菜单自定义179
8.3单据抛转自定180
9快速二次开发平台（FD-fasterdevelopmentpaltform）181
10数据交换引擎（XME）182
10.1数据导入导出工具182
10.2XMN数据传输中间件（集群版专用）183
第五章公司介绍184
1.11关于高格184
1.22高格历史184
1.33产品家族185
第六章行业成功案例187
1其他案例187
第%1章五金行业概述
1五金行业简介
五金工业是历史悠久的工业形式。
五金为工业之母，是国民经济的装备工业；是科学技术物化的基础；是高新技术产业化的载体；是国防建设的基础；是实现经济快速增长的重要支柱；也是为提高人民生活质量、提供消费类机电产品的供应工业。
它对国民经济运行的质量和效益、产业结
时间2021.03.10
创作：
欧阳治
升级会员 