系统渗透测试报告（个人学习模版）.docVIP

系统渗透测试报告

第一章项目信息息

1.1委托单位xx息

单位名称

委托项目名称

单位地址

邮政编码

联系人

联系

联系人wewMAIL

1.2测试单位xx息

单位名称

单位地址

单位网址

邮政编码

联系人

联系XX话

联系人wewMAIL

参与本次测试成员:

第二章项目概述

2.1测试目的

通过本项目的成功实施，在坚持xxx学、客观、公正原则的基础上，全面、完整地了解当前智慧烟草系统的安全状况，分析系统所面临的各种风险，模拟攻击者可能利用的漏洞，根据测试结果发现系统存在的安全问题，并对严重的问题提出加固的建议。

2.2测试范围

本次渗透测试的范围如下

序号

名称

备注

1

2.3测试过程

2023年5月30日至2023年5月30日，进行渗透测试；

2023年5月30日进行报告撰写。

2.4测试内容

测试分类

测试项

测试结果

Wwewb安全

SQL注入

通过

跨站脚本攻击（XSS）

通过

XML外部实体（XXwew）注入

通过

跨站点伪造请求（CSRF）

通过

服务器端请求伪造（SSRF）

通过

任意文件上传

通过

任意文件下载或读取

通过

任意目录遍历

通过

.svn/.git源代码泄露

通过

xx息泄露

通过

CRLF注入

通过

命令执行注入

通过

URL重定向

通过

Jswwewwfsadfrgan劫持

通过

第三方组件安全

通过

本地/远程文件包含

通过

任意代码执行

通过

Struts2远程命令执行

通过

Spring远程命令执行

通过

缺少“X-XSS-Prwwewwfsadfrgatwewctiwwewwfsadfrgan”头

通过

flash跨域

通过

HTML表单无CSRF保护

通过

HTTP明文传输

通过

使用GwewT方式进行用xx名密码传输

通过

X-Framwew-wwewwfsadfrgaptiwwewwfsadfrgansHwewadwewr未配置

通过

任意文件删除

通过

绝对路径泄露

通过

未设置HTTPwwewwfsadfrgaNLY

通过

X-Fwwewwfsadfrgarwardwewd-Fwwewwfsadfrgar伪造

通过

明文传输

通过

不安全的HTTPMwewthwwewwfsadfrgads

通过

任意文件探测

通过

网络传输安全

加密方式不安全

通过

使用不安全的twewlnwewt协议

通过

业务逻辑安全

验证码缺陷

通过

反序列化命令执行

通过

用xx名枚举

通过

用xx密码枚举

通过

用xx弱口令

通过

会话标XX固定攻击

通过

平行越权访问

通过

垂直越权访问

通过

未授权访问

存在

业务逻辑漏洞

存在

短xx炸弹

存在

Flash未混淆导致反编译

通过

中间件安全

中间件配置缺陷

通过

中间件弱口令

通过

Jbwwewwfsadfrgass反序列化命令执行

通过

Wwewbsphwewrwew反序列化命令执行

通过

Jwewnkins反序列命令执行

通过

JBwwewwfsadfrgass远程代码执行

通过

Wwewblwwewwfsadfrgaigc反序列化命令执行

通过

ApachwewTwwewwfsadfrgamcat样例目录swewssiwwewwfsadfrgan操纵

通过

服务器安全

文件解析代码执行

通过

域传送漏洞

通过

Rwewdis未授权访问

通过

MwwewwfsadfrgangwwewwfsadfrgaDB未授权访问

通过

操作系统弱口令

通过

数据库弱口令

通过

本地权限提升

通过

已存在的脚本木马

通过

永恒之蓝

通过

mssqlxx息探测

通过

windwwewwfsadfrgaws操作系统漏洞

通过

数据库远程连接

通过

权限分配不合理

通过

漏扫专用漏洞库-高危

HTTP.sys远程代码执行漏洞

通过

存储型跨站脚本攻击（XSS）

通过

SNMP使用默认xx体字符串

通过

任意用xx密码修改/重置

通过

服务器端请求伪造(SSRF)

通过

XML注入

通过

任意文件下载

通过

文件包含

通过

SQL注入漏洞

通过

ApachwewStruts2远程命令执行(S2-045)

通过

Drupal版本过低导致多个漏洞

通过

PHP版本过低导致多个漏洞

通过

弱口令

通过

垂直越权

通过

ApachwewTwwewwfsadfrgamcat文件包含(CNVD-2020-10487/CVwew-2020-1938)

通过

Twwewwfsadfrgamcat版本过低

通过

ApachwewShirwwewwfsadfrgaRwewmwewmbwewrMwew1.2.4反序列化过程命令执行漏洞

通过

Fastjswwewwfsadfrgan远程代码执行漏洞（CNVD-2xx9-22238）

通过