搜索

[16952] 2021-06-26_从管理角度谈业务系统漏洞发现手段

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-06-26_从管理角度谈业务系统漏洞发现手段 从 管 理 角 度 谈 业 务 系 统 漏 洞 发 现 手 段 雷 大 帅   F r e e B u f   2 0 2 1 - 0 6 - 2 6 前 言 前 言 安 全 漏 洞 可 以 说 是 业 务 系 统 所 有 安 全 事 件 的 源 头 ， 漏 洞 是 一 个 宽 泛 概 念 ， 既 包 括 安 保 、 社 工 导 致 的 意 识 流 问 题 ， 也 包 含 软 硬 件 技 术 处 理 层 面 的 缺 陷 问 题 ， 本 文 主 要 讨 论 技 术 方 向 ， 不 涉 及 安 保 、 员 工 意 识 等 非 技 术 问 题 。 本 文 主 要 讨 论 技 术 方 向 ， 不 涉 及 安 保 、 员 工 意 识 等 非 技 术 问 题 。 漏 洞 发 现 是 安 全 管 理 工 作 的 前 置 必 要 条 件 ， 漏 洞 发 现 的 全 面 性 和 及 时 性 ， 很 大 程 度 上 决 定 着 整 个 漏 洞 治 理 和 安 全 管 理 工 作 的 质 量 ， 这 应 该 是 广 大 安 全 从 业 人 员 的 共 识 ， 根 据 我 浅 薄 的 从 业 经 验 ， 漏 洞 发 现 途 径 大 致 可 以 分 为 人 工 资 产 匹 配 、 漏 洞 扫 描 工 具 、 渗 透 测 试 等 三 类 ， 下 面 依 次 展 开 说 明 。 人 工 资 产 匹 配 人 工 资 产 匹 配 人 工 资 产 匹 配 方 式 指 在 不 具 备 本 文 后 两 种 发 现 手 段 执 行 条 件 （ 特 征 匹 配 和 脚 本 验 证 ） 的 情 况 下 ， 根 据 现 有 资 产 信 息 进 根 据 现 有 资 产 信 息 进 行 漏 洞 匹 配 行 漏 洞 匹 配 （ 大 多 是 根 据 版 本 进 行 ， 部 分 会 涉 及 具 体 功 能 ） ， 主 要 适 用 于 主 要 适 用 于 0 d a y 或 已 披 露 、 爆 发 时 间 较 短 的 漏 洞 ， 或 已 披 露 、 爆 发 时 间 较 短 的 漏 洞 ， 通 常 由 软 硬 件 厂 商 或 监 管 机 构 、 上 级 单 位 进 行 发 布 和 通 报 ， 前 者 一 般 是 单 位 自 发 排 查 处 置 ， 但 后 两 种 通 告 是 强 通 常 由 软 硬 件 厂 商 或 监 管 机 构 、 上 级 单 位 进 行 发 布 和 通 报 ， 前 者 一 般 是 单 位 自 发 排 查 处 置 ， 但 后 两 种 通 告 是 强 制 任 务 ， 甚 至 部 分 紧 要 漏 洞 会 要 求 限 时 反 馈 、 上 报 受 影 响 和 处 置 情 况 ， 安 全 团 队 如 不 能 根 据 已 有 资 产 信 息 快 速 制 任 务 ， 甚 至 部 分 紧 要 漏 洞 会 要 求 限 时 反 馈 、 上 报 受 影 响 和 处 置 情 况 ， 安 全 团 队 如 不 能 根 据 已 有 资 产 信 息 快 速 做 出 判 断 ， 虽 说 部 分 企 业 的 资 产 管 理 工 作 不 是 安 全 团 队 职 能 ， 但 拉 扯 过 程 中 可 能 或 多 或 少 会 给 高 层 留 下 工 作 不 做 出 判 断 ， 虽 说 部 分 企 业 的 资 产 管 理 工 作 不 是 安 全 团 队 职 能 ， 但 拉 扯 过 程 中 可 能 或 多 或 少 会 给 高 层 留 下 工 作 不 力 的 印 象 ， 甚 至 扣 上 推 诿 的 帽 子 。 力 的 印 象 ， 甚 至 扣 上 推 诿 的 帽 子 。 其 实 资 产 是 漏 洞 发 现 的 基 础 ， 漏 洞 扫 描 、 渗 透 测 试 都 是 基 于 资 产 信 息 （ U R L 、 端 口 、 I P 、 域 名 等 ） 开 展 的 ， 尤 其 是 经 历 了 快 速 增 长 期 和 漫 长 建 设 期 的 单 位 ， 资 产 管 理 工 作 往 往 或 多 或 少 都 有 欠 缺 ， 资 产 管 理 细 细 理 顺 讲 来 又 可 以 写 一 篇 文 章 ， 本 文 就 不 再 展 开 了 。 漏 洞 扫 描 工 具 漏 洞 扫 描 工 具 漏 洞 扫 描 工 具 五 花 八 门 ， 根 据 其 来 源 属 性 可 以 分 为 开 源 的 、 国 内 外 商 用 的 （ 含 号 称 国 产 自 研 的 硬 件 盒 子 ） ， 根 据 其 主 要 作 用 资 产 对 象 属 性 又 可 以 分 为 主 机 扫 描 器 、 W E B 应 用 扫 描 器 等 ， 根 据 其 架 构 可 以 分 为 C / S 、 网 络 代 理 等 ， 但 究 其 根 本 大 致 可 以 划 分 为 两 种 技 术 模 式 ， 猜 测 式 匹 配 检 测 和 P O C 式 验 证 机 制 ， 各 有 优 劣 ， 大 致 特 点 如 下 ： 1 . 误 报 的 猜 测 式 匹 配 检 测 误 报 的 猜 测 式 匹 配 检 测 通 过 远 程 检 测 资 产 对 象 的 网 络 服 务 和 组 件 程 序 ， 收 集 返 回 的 响 应 数 据 ， 根 据 漏 洞 库 中 的 已 知 漏 洞 特 征 （ 版 本 、 协 议 、 响 应 特 征 等 ） 进 行 模 糊 判 断 ， 满 足 组 成 条 件 则 视 为 存 在 漏 洞 ， 但 很 多 漏 洞 经 过 加 固 或 修 复 后 ， 其 响 应 信 息 特 征 可 能 不 会 发 生 根 本 改 变 ， 这 就 产 生 了 误 报 ， 我 相 信 很 多 从 业 人 士 都 因 此 挨 过 甲 方 、 运 维 或 者 开 发 的 怼 。 猜 测 式 匹 配 检 测 和 上 文 提 到 的 人 工 资 产 匹 配 有 异 曲 同 工 之 妙 ， 都 是 在 不 具 备 脚 本 验 证 条 件 的 情 况 下 通 过 匹 配 版 本 进 行 的 ， 不 同 之 处 有 二 ， 一 是 在 于 前 者 是 根 据 厂 商 维 护 更 新 的 工 具 半 自 动 化 进 行 的 ， 通 常 虽 更 新 时 效 不 会 太 快 ， 但 技 术 成 熟 、 漏 洞 信 息 全 面 ， 二 是 前 者 是 判 断 维 度 不 只 有 版 本 资 产 信 息 ， 还 涉 及 协 议 、 响 应 头 等 动 态 特 征 。 2 . 漏 报 的 漏 报 的 P O C 式 验 证 检 测 式 验 证 检 测 基 于 验 证 脚 本 的 自 动 化 过 程 ， 通 过 模 拟 已 知 漏 洞 利 用 手 法 （ 脚 本 ） 自 动 对 资 产 对 象 进 行 仿 真 攻 击 （ 注 意 是 仿 真 ， 不 具 有 实 际 危 害 或 实 际 危 害 可 控 ） ， 分 析 目 标 动 态 变 化 判 断 攻 击 是 否 成 功 ， 攻 击 成 功 则 视 为 存 在 漏 洞 。 P O C 式 验 证 检 测 依 赖 验 证 脚 本 ， 历 史 已 知 漏 洞 不 计 其 数 ， 验 证 脚 本 覆 盖 不 完 全 ， 会 产 生 漏 报 。 3 . 误 报 漏 报 抉 择 建 议 误 报 漏 报 抉 择 建 议
猜 测 式 匹 配 检 测 的 漏 洞 库 全 面 ， 存 在 误 报 ， P O C 式 验 证 检 测 受 限 于 验 证 脚 本 的 覆 盖 面 ， 存 在 漏 报 ， 误 报 和 漏 报 貌 似 是 两 个 极 端 。 （ （ 1 ） 对 于 采 买 漏 扫 产 品 的 单 位 ： ） 对 于 采 买 漏 扫 产 品 的 单 位 ： 好 在 近 年 来 部 分 厂 商 意 识 到 了 问 题 ， 更 新 迭 代 的 漏 扫 产 品 减 少 了 对 于 版 本 对 比 等 简 单 特 征 判 断 的 依 赖 ， 结 合 P O C 机 制 ， 降 低 了 误 报 率 ， 虽 然 扫 描 速 度 相 对 较 慢 ， 但 鱼 和 熊 掌 皆 可 兼 得 。 另 外 鉴 于 厂 商 脚 本 的 更 新 时 效 不 可 控 ， 建 议 采 买 支 持 自 定 义 P O C 脚 本 的 漏 扫 产 品 ， 以 备 不 时 之 需 ， 部 分 厂 商 产 品 虽 号 称 支 持 P O C 功 能 ， 但 为 内 置 脚 本 库 ， 不 支 持 自 定 义 。 （ （ 2 ） 对 于 采 买 漏 扫 服 务 的 单 位 ： ） 对 于 采 买 漏 扫 服 务 的 单 位 ： 明 确 要 求 服 务 单 位 使 用 基 于 P O C 、 特 征 库 的 多 款 产 品 进 行 交 叉 验 证 ， P O C 检 测 发 现 的 漏 洞 直 接 交 付 给 运 维 、 开 发 等 下 一 流 程 使 用 ， 基 于 猜 测 检 测 发 现 的 漏 洞 要 求 乙 方 根 据 I P 、 端 口 、 C V E 号 等 进 行 筛 重 后 扭 转 到 下 一 流 程 。 渗 透 测 试 渗 透 测 试 1 . 定 义 介 绍 定 义 介 绍 通 常 来 说 渗 透 测 试 也 包 含 漏 洞 扫 描 ， 但 前 者 在 目 标 上 更 倾 向 于 取 得 权 限 或 数 据 ， 偏 重 于 纵 向 入 侵 ， 而 非 仅 仅 发 现 一 些 漏 洞 ， 发 现 、 组 合 和 利 用 漏 洞 是 渗 透 测 试 关 键 手 段 ， 漏 洞 即 可 以 是 常 见 的 高 风 险 的 已 披 露 的 安 全 问 题 ， 也 可 以 是 独 有 特 殊 的 业 务 逻 辑 扭 转 处 理 上 的 错 误 （ 如 薅 羊 毛 ） 。 2 . 实 践 中 存 在 的 问 题 实 践 中 存 在 的 问 题 在 信 息 安 全 越 来 越 重 要 的 如 今 ， 各 个 互 联 网 大 厂 要 是 没 搞 个 众 测 平 台 ， 出 门 都 不 好 意 思 打 招 呼 的 “ 众 测 ” 时 代 ， 渗 透 人 员 只 要 花 时 间 在 平 台 上 磨 ， 都 可 以 获 得 一 定 的 经 济 收 益 ， 特 别 是 前 几 年 ， 相 关 法 律 法 规 都 尚 未 完 善 ， 漏 洞 披 露 平 台 授 权 没 授 权 的 一 通 乱 炖 ， 故 此 江 湖 上 流 传 着 很 多 靠 挖 洞 发 家 致 富 、 买 车 买 房 的 传 说 ， 这 些 平 台 的 注 册 用 户 大 多 是 乙 方 专 职 的 安 全 技 术 服 务 人 员 ， 趋 利 性 催 生 了 一 种 怪 诞 的 现 象 “ 工 作 只 是 副 业 ， 上 平 台 挖 洞 才 是 主 业 ” ， 在 各 种 渗 透 评 估 服 务 各 种 渗 透 评 估 服 务 项 目 里 也 就 草 草 应 付 了 事 ， 取 得 某 些 权 限 就 交 付 报 告 完 成 渗 透 工 作 了 ， 甚 至 把 渗 透 测 试 做 成 了 漏 洞 扫 描 结 果 验 项 目 里 也 就 草 草 应 付 了 事 ， 取 得 某 些 权 限 就 交 付 报 告 完 成 渗 透 工 作 了 ， 甚 至 把 渗 透 测 试 做 成 了 漏 洞 扫 描 结 果 验 证 。 证 。 3 . 可 能 的 解 决 方 案 可 能 的 解 决 方 案 （ （ 1 ） 对 于 甲 方 单 位 ： ） 对 于 甲 方 单 位 ： 市 面 上 安 全 服 务 商 都 有 高 手 ， 但 这 些 高 手 成 本 很 高 ， 需 要 用 到 更 有 价 值 的 地 方 ， 至 少 如 果 我 是 一 家 安 全 服 务 公 司 的 老 板 ， 遇 到 对 服 务 内 容 要 求 不 明 确 甚 至 完 全 不 懂 的 客 户 ， 我 是 肯 定 不 会 把 高 手 长 期 放 在 这 个 项 目 上 的 ， 这 甚 至 都 无 关 于 甲 方 的 预 算 或 项 目 大 小 ， 因 为 没 必 要 浪 费 成 本 ， 这 不 是 道 德 和 品 质 问 题 ， 这 是 企 业 的 核 心 任 务 ： 利 益 最 大 化 ， 但 如 果 甲 方 单 位 管 理 上 对 安 全 非 常 重 视 ， 技 术 上 又 能 主 导 服 务 商 的 具 体 工 作 ， 对 于 服 务 商 来 说 ， 在 预 算 允 许 的 情 况 下 必 须 派 出 最 高 的 高 手 来 服 务 ， 保 证 交 付 质 量 ， 否 则 就 有 可 能 丢 掉 这 个 项 目 。 渗 透 测 试 质 量 固 然 与 服 务 商 能 力 有 关 联 ， 但 我 个 人 认 为 也 依 赖 于 甲 方 安 全 团 队 对 服 务 要 求 和 验 收 标 准 的 把 控 度 ， 需 要 根 据 系 统 实 际 情 况 约 定 具 体 预 期 目 标 ， 达 成 目 标 则 完 成 服 务 ， 否 则 不 成 功 ， 还 可 以 引 入 多 家 服 务 商 进 行 质 量 交 叉 对 比 。 （ （ 2 ） 对 于 乙 方 服 务 商 ： ） 对 于 乙 方 服 务 商 ： 建 立 渗 透 测 试 标 准 作 业 流 程 ， 细 化 到 采 用 什 么 工 具 ， 优 先 进 行 哪 些 风 险 的 挖 掘 和 利 用 ， 兜 底 固 定 住 服 务 质 量 的 下 限 后 ， 标 准 之 外 是 加 分 项 ， 不 限 方 式 给 工 程 师 留 有 一 定 的 空 间 ， 最 重 要 的 是 服 务 报 告 统 一 进 行 质 量 审 核 后 输 出 给 客 户 ， 审 核 结 果 纳 入 职 称 、 奖 金 评 价 体 系 。
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理