渗透测试服务甲方公司OA网站系统漏洞测试

渗透测试服务&＃xff0c;是甲方授权乙方安全公司对自身的网站&＃xff0c;以及APP,办公系统进行的全面人工安全渗透&＃xff0c;对漏洞的检测与测试&＃xff0c;包括SQL注入漏洞,XSS存储漏洞&＃xff0c;反射漏洞&＃xff0c;逻辑漏洞&＃xff0c;越权漏洞&＃xff0c;我们SINE安全公司在进行渗透测试前&＃xff0c;是需要甲方公司的授权才能进行&＃xff0c;没有授权的渗透以及网站漏洞测试在法律上来讲是违法的&＃xff0c;非法渗透带来的一切责任与后果&＃xff0c;要自行承担&＃xff0c;需要渗透测试服务的一定要找正规的安全公司来做&＃xff0c;以防上当。前段时间我们SINE安全公司&＃xff0c;收到甲方公司的渗透测试ORDER,对公司使用的OA办公系统进行全面的安全检测&＃xff0c;与漏洞测试&＃xff0c;针对前期我们做的一些准备&＃xff0c;与测试内容&＃xff0c;我们来详细跟大家分享一下渗透测试的过程。

很多中小型企业都有自身的OA办公系统&＃xff0c;为了员工办公&＃xff0c;审批流程&＃xff0c;工作简化&＃xff0c;OA系统在整个公司里起到了重要的扭曲作用&＃xff0c;大大的减少了公司运营成本&＃xff0c;沟通时间成本&＃xff0c;促进员工更高效的工作&＃xff0c;在使用的过程中也带来了很多安全的隐患&＃xff0c;在对OA办公系统进行渗透测试服务的时候&＃xff0c;我们要从以下几个方面进行安全测试&＃xff1a;

在渗透测试之前我们第一要明白&＃xff0c;了解在客户的公司内部网络中&＃xff0c;都有使用那些办公系统&＃xff0c;是使用的第三方公司开发的办公系统&＃xff0c;还是自己工程师单独研发的&＃xff0c;如果是自行开发的&＃xff0c;那漏洞会很容易的测试出来&＃xff0c;第三方公司开发的相对来说漏洞没有那么多&＃xff0c;需要时间与精力去进行详细的测试&＃xff0c;才能发现漏洞。公司里使用的邮件系统一般来说使用QQ企业邮箱&＃xff0c;gmial邮箱&＃xff0c;163邮箱&＃xff0c;微软的exchange邮箱使用的最多。

OA办公系统&＃xff0c;用友&＃xff0c;致远OA系统都存在远程代码执行漏洞&＃xff0c;客户目前使用的致远OA&＃xff0c;目前大多数的企业都在使用的一套OA系统&＃xff0c;我们来看下这个漏洞&＃xff1a;通过远程代码执行可以直接调用CMD命令&＃xff0c;对当前的网站服务器进行查看&＃xff0c;执行管理员权限的命令&＃xff0c;危害较高&＃xff0c;可以直接获取服务器的管理权限&＃xff0c;并对OA系统的数据进行查询&＃xff0c;修改&＃xff0c;资料可能会导致泄露。

该公司的企业OA办公系统主要是以网站为主&＃xff0c;人才系统&＃xff0c;权限系统&＃xff0c;以及部门管理后台&＃xff0c;业务流程管理&＃xff0c;CRM&＃xff0c;业绩考核&＃xff0c;订单系统&＃xff0c;售后系统&＃xff0c;都以网站为基础构建&＃xff0c;网站也对外开放&＃xff0c;任何员工以及在任何地方&＃xff0c;出差&＃xff0c;手机上都可以随时的办公&＃xff0c;在方便的同时&＃xff0c;安全也面临着严重的考验&＃xff0c;我们SINE安全技术对整个办公系统渗透测试发现&＃xff0c;存在太多的漏洞&＃xff0c;像XSS存储漏洞&＃xff0c;越权漏洞&＃xff0c;在流程管理&＃xff0c;方案提交功能上我们发现一处重要的越权漏洞&＃xff0c;代码如下&＃xff1a;

可以直接越权对方案进行控制&＃xff0c;同意以及撤销方案&＃xff0c;查看其他人提交的方案&＃xff0c;都是越权进行操作&＃xff0c;在正常的操作下是不允许的。还有一个未授权访问的漏洞&＃xff0c;可以看到很多管理员权限下的内容如下图&＃xff1a;

甲方公司使用的VPN是思科的&＃xff0c;对VPN账号密码进行暴力破解的时候&＃xff0c;有些账号存在弱口令&＃xff0c;被直接猜解到&＃xff0c;建议甲方公司加强密码的保护&＃xff0c;使其密码的强度在10位以上&＃xff0c;数字加字母加大小写组合&＃xff0c;以上就是对客户OA系统进行的渗透测试&＃xff0c;大体就是以上几个方面进行的安全渗透&＃xff0c;包括OA系统&＃xff0c;以及邮件系统。如果您对自身网站以及系统的安全不放心的话&＃xff0c;建议找专业的安全公司来做渗透测试服务&＃xff0c;国内SINE安全&＃xff0c;深信服&＃xff0c;绿盟都是比较有名的安全公司&＃xff0c;检查网站是否存在漏洞&＃xff0c;以及安全隐患&＃xff0c;别等业务发展起来&＃xff0c;规模大的时候再考虑做渗透测试&＃xff0c;那将来出现漏洞&＃xff0c;带来的损失也是无法估量的&＃xff0c;网站在上线前要提前做渗透测试服务&＃xff0c;提前找到漏洞&＃xff0c;修复漏洞&＃xff0c;促使网站平台安全稳定的运行。