信息安全测评实验三讲解

《信息安全测评实验三讲解》由会员分享，可在线阅读，更多相关《信息安全测评实验三讲解（29页珍藏版）》请在装配图网上搜索。

1、西南科技大学计验机科报技术学院实验名 称网站应用安全测评及加固实验地点实验日期指导教师学生班级学生姓名学生学号提交日期2015年3月信息安全系制、实验目的 通过对网站系统进行安全测评和安全加固，掌握应用安全测评方案的设计、安全测评实施及 结果分析；掌握安全加固的方法。二、实验题目根据信息系统安全等级保护基本要求的第三级基本要求，按照实验指导书中的示范，对 网站应用进行安全测评，安全等级为三级选用应用网站网址：http:/10.ll.065/index.html三、实验设计应用安全涉及人类工作和生活的方方面面，为了考虑计算机应用系统的安全，需要逐一 分析各行各业的特点，可是这是难以做到的。因此，

2、我们只能把握计算机应用系统的基础， 有什么样的安全测评要求，以便在这条“高速公路”上行驶的“人员”能够“放心驾驶” 至于“他们开什么样的车，开往何方”等，则只好在今后的测评工作中就事论事了。国家标 准从管理和技术两个层面，对应用安全测评提出了若干条款。按照三级要求，国家标准中把 应用安全的分为身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、 抗抵赖、软件容错和资源控制九个方面。（1）身份鉴别。b）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；可以通过登陆时是否需要验证以及具体需要验证的种类来查看。（2）访问控制。e）应具有对重要信息资源设置敏感标记的功能；f

3、）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作； 通过访问管理员的方式。（3）安全审计。b）应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录； 查看二进制日志是否有修改编辑的选项。d）应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。 查看二进制日志是否有自动分析过滤生成报表的功能。（4）剩余信息保护。a）应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论 这些信息是存放在硬盘上还是在内存中；b）应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其 他用户前得到完全清除。1. 询问管理员，具体措施有哪些。2检查设

4、计/验收文档。3以普通用户身份登录并进行一些操作。（5）通信完整性。应采用密码技术保证通信过程中数据的完整性。访问管理员在通信过程中是否对数据加密。或者查看系统设置，看是否有对信息加密处理的 选项设置。（6）通信保密性。b）应对通信过程中的整个报文或会话过程进行加密。访问管理员在通信过程中是否对信息加密。或者查看系统设置，看是否有对信息加密处理的 选项设置。（7）抗抵赖。a）应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；b）应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。访问管理员，询问系统是否具有抗抵赖性，具体措施有哪些。（8）软件容错。b）应提供自动保护功

5、能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。 采用渗透测试的方法来验证系统中是否存在明显的弱点。（9）资源控制。d）应能够对一个时间段内可能的并发会话连接数进行限制；e）应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；f）应能够对系统服务水平降低到预先规定的最小值进行检测和报警；g）应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先 级，根据优先级分配系统资源。1. 访问管理员，是否有相应措施。2. 查看资源控制列表，是否有相应选项。四、实验记录1）身份鉴别本项要求包括：a）应提供专用的登录控制模块对登录用户进行身份标识和鉴别；（1

6、）访谈应用系统管理员，询问应用系统是否提供专用的登录控制模块对登录的用户进行 身份标识和鉴别，采用何种方式对用户进行身份标识和鉴别。预期结果:在业务需要的情况下应该提供专用的登录控制模块对登录的用户进行身份标识和 鉴别。（2）检查应用系统，查看用户是否必须通过专用的登录控制模块才能登录该系统，查看身 份标识和鉴别的方式。步骤:打开http:/目标主机IP地址/dede/login.php,查看用户是否需要进行身份标识和鉴别。测试结果：需要进行身份标识和鉴别，用户必须通过专用的登陆控制模块才能登陆系统。(3) 以某注册用户身份登录系统，查看登录是否成功。步骤：打开http:/目标主机IP地址/d

7、ede/login.php,然后用注册账户admin,密码admin登 录系统。查看是否能够登录成功； 今 C1 D 10.11. 0. 65/dede/login. php?三返回网站主贡念您的背理目录的名称中包含默认名称dede,建议在FTP里把它修改为其它名称，那拝会更安全？看不洁？DEDEC/t/ISit讦加丸简勒Powered by De deCis V57_GBK_SP1 2004-2011 DesDev Inc.畅言A源自搜狐的岂业怦论插件测试结果：用正确的注册用户身份可以登录系统。(4) 以非法用户身份登录系统，查看登录是否成功。步骤：在登录栏处，随意输入一个未经注册的非法用户

8、，查看是否能够登录成功。返回网站主页厘您的管理目录的名称中包含默认名称ded建溟在FTF里把它谡改为苴它名称那祥会更安全?用户魚 密码= 验证码=看不清？登录DEDEt4S遣命窃丸鱼羊/Powered by DedeCBSV57_GBK_SP1 2004-2011 DesDev Inc.tp:/10. 11.0. 65/dede/login. phpVDe deCBS提示信息？你的用户名不存在！如果你的浏览器没反应，请点击这里.测试结果：用非注册用户身份或者错误的注册用户身份信息不可以登录系统。b）应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户 身份标识，身份鉴别

9、信息不易被冒用；（1）询问应用系统管理员，应用系统的用户身份标识是否唯一。采取了什么措施防止身份 鉴别信息被冒用。测试结果：用户身份标识唯一，并采取措施防止身份鉴别信息被冒用。（2）检查总体规划/设计文档，查看其是否有系统采取了唯一标识的说明。查看其身份鉴别 信息是否具有不易被冒用的特点。测试结果：对用户身份唯一标识有文档说明。（3）检查应用系统是否有专门的设置保证用户身份鉴别信息不易被冒用，如果应用系统采 用口令进行身份鉴别，则查看是否有选项或设置强制要求口令长度、复杂度、定期修改等。 步骤1：使用正确用户名和密码登录后台，依次点击系统- 系统用户管理，在出现的界 面上点击更改选项，进入后会

10、看到相应的修改提示。步骤2：按照修改提示设置新的用户密码，检查系统是否配备了鉴别信息复杂度的检查功能。 在检查时，使用简单口令，如“1”，输入安全验证串，然后点击保存用户,查看系统是否 具有口令复杂度检查功能。用户aftSRin :用户笔蓉:用户密石马：用户炎型：a庶如u趙:宜女姓卷：电子帥柚:安主验证申:*. dm 1x14Ctrl B以进疔缶谊）（删丰代玛: O a*258 02 O71 OO2T d473 3 ）c at相立空后显于班住冊極的名手 只船用o-ti-iA-z. e_- ia內牯函的字WF yDedeCBS提示信息甲成功更改一个帐户！如果你的浏览器没反应，请点击这里.预期结果

11、：应有口令长度、复杂度的设置，并可以控制用户口令是否进行定期修改。（4） 以已有的用户名重新注册，测试系统是否禁止该操作。步骤1：依次点击系统- 系统用户管理,在出现的界面上点击增加管理员选项。111（0-9JJa-z J A-用户密码：、！ 以内范围的字符）用尸组：信息发布员所有频道一授权栏目:真实姓名:肢Ctrl可以进行哆选1电子挪箱:测试结果：禁止已有用户名的重新注册，提供了用户身份标识唯一和鉴别信息复杂度检查功 能。(5) 扫描应用系统，测试其鉴别信息复杂度检查功能，检查系统是否不允许存在弱口令、 空口令等。步骤1：在添加用户时，在密码处不输入任何字符，查看是否允许存在空口令操作。用户

12、皓屯；用户密码:用户爼：宜制本代鸥：17112f601dc3d94f3cbf9 )頁实姓容:电子邮祐:安全脸证申：flTl 12fBOldc3*d04f3eabf19DedeCIS提示信息豊成功増加一个用户！如果你的浏览器没反应，请点击这里测试结果：允许存在弱口令、空口令。C）应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；（1）询问管理员应用系统是否具有登录失败处理的功能（如结束会话、限制非法登录次数， 当登录连接超时，自动退出等），是如何进行处理的。测试结果：应当限制登录失败次数。当登录连接超时，应当自动退出或提示。（2）检查应用系统，如果有登录失败处理设置选项或

13、模块，查看系统是否设置或选中了该 功能。步骤：点击系统设置，查看是否有登录失败处理设置或模块，再进行查看。系统基本参数系统用户管理用户组设定服务器分布/远程系统日志管理验证安全设置图片水印设置b理选项、模块。方式，采用如下测试方法之一或全部:I I测试结果：（3）尝据步骤1以错误的樹名或密码登置系统，查看系统的反应。以系统规定的非法登录次数登录系统，查看系统的反应。登录失 应用系纟步骤1步骤期步骤测试录系统进行连接超时时淆查看系统的反应。 用错误的谑码无法登录。登录失败次数超出限制时，系统有相应处理。I登录系统超时后有）应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录

14、失 败处理功能，并根据安全策略配置相关参数。步骤节询问系统管理员应用系统的身份鉴别、身份标识唯一性检查、鉴别信息复杂度检查 以及登录失败处理功能是否有专门的模块或选项，是否有相关参数需要配置。测试结果：对身份鉴别、身份标识唯:歡则查看实际配置情况，是否已经启用上述功能。一 性检查、鉴别信息复杂度检查以及登录失败处理功能应有专门的模块、选项 步骤2：如果有参数需IJ试结果：如有相关参数配描应开启了上述功能。应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；为骤：打开http：/目标主机1IP地址IdedeJlogin.php,然后查看如何才能够登录成功; ?尘您的管理目录的名称中包含

15、默认名称dede,在FTF里把它修改肯苴它名称那样会更安全?DEnEtUSit讦缶丸筑学rPowered by DedeCBSV5T_GBE_SF 1 2004-2011 DesDev Inc.方法2：以管理员root的身份登陆，而后查看【系统】-【验证安全设置】选项选择数据库项，检查用户对各个数据库的访问权限。期C理ISfH phpayAdmini-Language中文-Chinese simplified用户名=执行必须启用Cookies才能登录。审服务器：localhost酣数据库 專SQL 。状态 圜变量 冏字符集 囿引擎 怡权限 圉二进制日志 智进程 前导出 导入 矽用户可以访问-t

16、est用户主机权限授 权作任意%按数据库指 定SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, REFERENCES, INBEX, ALTER, CREATE TEMPORARY TABLES, LOCK TABLES, CREATE VIEW, EVENT, TRIGGER, SHOW VIEW, CREATE RDUTIHE否root127. 0. 0. 1全局ALL PRIVILEGES是root:1全局ALL PRIVILEGES是rootlocalhost全局ALL PRIVILEGES是a添加新坤户测试结果：系统提供了访问控制机制。(3)

17、 检查应用系统，查看系统是否设置有安全策略控制用户对文件、数据库中的数据等进 行访问。步骤1：浏览器地址栏键入“目标主机IP地址/phpmyadmin”，选择数据库项，点击查看 各个数据库的访问权限。1障数据阵鄭QL寻狀态111变虽字符隼阚引墓昌二进制日击%进程第导出1曲数据库I I dedecmsv57gbkspl informationschema步骤2：点击编辑各个数据库的权限。制数据库据SQL 辱狀态對变量関字符集鮒引擎擔权限圉二进制日吉囁进程酹导出酶导入3用户可以访问test用户主机权限授操权按据指SELECT, INSERT, 1.THATE. DELETE. CMATE. DRU

18、F. MFEMNCES. I1THEX. ALTER, CF1EATE否TEMFOWLY TAf：LES. LOCK TABLED CREATE VIEH., EVE町.，TRIGGER, SHOW VIEVi： CREATE ROI.ITINI：皆ALL FRIVILEGEE是root : : 1全局ALL FRIVILEGEE是root localhost 全局ALL FRIVILEGEE是任意root127.0.0. 1: 添加新用户-打开新phpMy包diTLirL窗口(4)检查应用糸统，查看糸统的访问控制粒度是否达到主体为用尸级，客体为文件、库表级。步骤：以某一用户身份登入系统，选择

19、数据库选项卡，查看访问控制粒度是否达到数据表 级。务器二 localhost 醇 数据库：de de c*s v5 7 gbk sp 1构探SQL /摟索規查询希导出蓉导入燹操件慣权限園除测试结果：系统的访问控制粒度达到主体为用户级，客体为文件、数据库表级。(5)以某一用户身份登录系统，依据安全策略对客体进行访问，测试是否成功。该用户不 依据安全策略对客体进行访问，测试是否成功。步骤1：以root身份登入系统，尝试对数据库进行增加、删除、查询、修改用户权限等操 作，查看root用户权限。删除数据库：爭秋念 羽变重 圜于育曲曲数据库数据库出已 d已 cmsv57gbksp1information

20、 schema搜索查询、导出数据库:查看、更改访问权限:mysql performance_schema 強 用户可叹访问 adedecsv5Tgbksp 1用户主机add_us已匸%全局SELECT., INSERT., UPDATE, DELETEadd_userlocalhost全局SELECT., INSERT., UPDATE, DELETEadd_user1%全局AU. FRIVILEGES全局SELECT. INSERT. UPDATE, DELETE:di_Lj.nis e rA按数据库指定ALL FRIVILEGEroot127. 0. 0. 1全局ALL FRIVILEGE

21、Sroot:1全局AU. FRIVILEGE百rootlocalhost全局AU. FRIVILEGES作vv权授否否是否否是是是步骤2：以任意非root用户身份登入系统，尝试对数据库进行添加、删除、查询等操作， 查看其是否具有相应权限。例如，以anyuser身份登入系统：无法查看日志信息，无法查看权限设置，无新建数据库权限，可查询数据库 information_schema，但无删除数据库权限：可浏览、查询数据库:表记录数1类型整理CHARACTER.SETS眉画圍39JiffiMORYutf8_general_ciCOLLATIONSH IS S：95JiffiMORYutf8_gener

22、al_ciCOLLATION_CHARACTER_SET_APPLICABILITTIffl药禽：95JiffiMORYutf8_general_ciCOLUINSIffl药園408MyISAMutf8_general_ciCOLU1H_PRIVILEGES眉圏国0MEMORYutf8_general_ciENGINESH iffi E9MEMORYutf8_general_ciEVERTS伺圏伯0MyISAMutf8_general_ciFILES0JiffiMORYutf8_general_ciGLOBAL_STATUSH iffi E308JiTEMORYutf8_general_ci测

23、试结果：以某一用户身份登录系统，依据安全策略对客体进行访问，结果成功。但如果该 用户不依据安全策略对客体进行访问，结果则为失败。b）访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；（1）访谈管理员，询问系统访问控制策略是否覆盖到与信息安全直接相关的主体、客体及 它们之间的操作？测试结果:系统访问控制策略应覆盖到与信息安全直接相关的主体、客体及它们之间的操作。（2）查看系统的具体安全策略内容是否覆盖到与信息安全直接相关的所有主体、客体及它 们之间的操作。测试结果：系统的具体安全策略内容应覆盖到与信息安全直接相关的所有主体、客体及它们 之间的操作。c）应由授权主体配置访问控制策

24、略，并严格限制默认帐户的访问权限；（1）检查应用系统，查看系统是否有由授权主体配置访问控制策略的功能。方法：以root身份登陆系统，选择数据库选项卡，查看是否能够配置对各个数据库的访 问策略。例如，可进行以下步骤配置用户对数据库test的访问策略。步骤1：检查“test”数据库的权限。 dedecmsv57gbk-spli n forrndtton_sc he ma口mysql13perfo rman c e_sc he mmtestIRBSSS总计；51_ 全透/全不谱蟲凉：拥步骤2：点击如图按键即可针对不同用户对数据库“test”的权限进行编辑。；/phpwyacdiriin/index

25、php?tuken=38de 1755f4368e0e0d49clf688Occfc5由 服务器：localhost鉀数据库m罷 SQL莘狀态匐变量1字符集劇引擎圉二进制日志嗡进程前导出弄导入 用户可咲访问用户主机类星权很授权add_user127.0.0. 1全局ALL FJLEHLEGES是add_user11111%按数据库指定ALL FRIVILEGEE否root127.0.0. 1全局ALL FJLLLEJES是root:1全局ALL FEIVILEGEE是rootlocalhost全局ALL FEIVILEGE5：是tuser95全局SELECT, INSERT, UPDATE,

26、DELETE, ALTER. SHOW VIEW否1 添加新用户测试结果：系统有由授权主体配置访问控制策略的功能。（2）如果系统有由授权主体配置访问控制策略的功能，则以该授权主体用户登录系统，查 看某个特定用户的权限。以该用户身份登录系统，进行在权限范围内和权限范围外的一些操 作，查看是否成功。步骤1：添加用户。选择权限-添加新用户,添加一个名为add_userl23的新用户，不为 其创建数据库，不对其赋予任何特殊权限。厚数据库蟲SQL匐变量字符集須二进制日志娥进程善导岀甘腫务器：localhost氏查看用户ABCDEFGHIJKLMNOPQRSTUVWKYZ :用户主机密码全局权限1授权任意

27、%否USAGE否任意localhost否USAGE否add 已 i:_LL5Er127.0.0. 1是USAGE否:iiijmser%是USAGE否root127.0.0. 1否ALL FEIVILEGES是root:1否ALL FJLEWLEGES是rootlocalhost否ALL FMWLEGES是t 全选/全不选: 添加新用户切新用户据SQL尊狀态圜变量画字符集劇引華圉二进制日志騎迸程韜导出菩抽数据库您已添加了一个新用户。CREATE USER add_userl23- %J ;GEABT USAGE OV * TO J add_uSerl23J J IITH AI_gUEBIES_F

28、EE_HDUE 0 AI_UQMEUT工0B5_FER_H0UE 0AI_irPDATES_FER_HOlTR 0 i*I_USER_COHBECTIOHS 0 ;编辑创建PHP步骤2：退出当前登陆，以新建用户add_userl23身份登入系统，尝试对数据库进行添加、 删除、查询等操作，查看add_user123是否具有相应权限。无法查看日志信息，无法查看权限设置，无新建数据库权限萍数据库擁SQL邈变量圜字符集操作修改密码B退出IySQL localhost4新建软据库： 協无权限可查询数据库qinformatiop_schemg和newtest，但无删除数据库权限:S SQL零狀态匐变量|字

29、符集劇引華曲数据库曲数据库数据库亠information_schema nevrtest总计：2可浏览查看数据库:测试结果：进行在权限范围内的操作，成功；权限范围外的操作，则失败。(3) 以该授权主体用户登录系统，修改上述特定用户的权限。以该用户身份登录系统，查 看该用户的权限是否与刚修改过的权限保持一致，验证用户权限管理功能是否有效。方法：以root身份登陆系统，修改刚才新建用户add_user的权限，例如：取消add_user访 问“test”数据库的权限，然后以add_userl23身份登入系统，查看add_userl23是否有权 访问“newtest”数据库。步骤1：以add_user

30、123身份登入系统，查看当前可以访问的数据库。屯 服务理：localhost曲数据库灘SQL苓狀盍匐变量曲数据库数据库inf0rmation_schemaneiirtest总计：2岂启用统计步骤2：以root身份登陆系统，取消非root用户对“newtest”数据库的所有权限。加腹箸：localhost萍数据库 蟲SQL 零狀态 團变量 関字符集 剧引睾 卷权限 国二进制日志 囁进程 前导出3用户可咲访问neatest用户主机授权掾作任意%按数据库指定ALL FFJTOLEGES是1 nqOf全局ALL FFJTOLEGES是1Ai按数据库指定ALL FFJTOLEGES是add_user%全

31、局SELECT, INSERT, l.TDATE., DELETE否add_user007%全局SELECT, INSERT, l.TDATE., DELETE否:inyuser%全局SELECT, INSERT, l.TDATE., DELETE, SHOW TOErt1否myuserlocalhost全局SELECT, INSERT, l.TDATE. DELETE, SHOW VIEW否厂按数据库指定权隈(全选/全不选)庄爺:汐二校限名隸会氐英立显示管理GRABTLOCK TABLESREFERENCES结构CREATEALTERINDEXDEOPCREATE TEMPORARY TAB

32、LESSHOW VIEWCREATE ROUTINEALTER ROUTINEEXECUTECREATE VIEWEVE町TRIGGER& 您已更新了 理雷的权限。GRABT USAGE OV newtest . * TO P 嚣；步骤3：再次以add_userl23身份登入系统，查看当前可以访问的数据库是否包含newtest” 数据库。睜数据库眾SQL 零狀畫嚮变量圜字符集数据库informat ion_schema试结果：权限管理正确。4）检查应用系统，查看系统是否有默认用户，如果有，是否限制了默认用户的访问权限。步骤：选择权限项，查看系统中存在的用户（除了 add_user123为新增用

33、户，其他用户没 有进行任何更改）。（5）如果有默认帐户，以默认帐户（默认密码）登录系统，并进行合法及非法操作，测试 系统是否对默认帐户访问权限进行了限制。方法：以任一默认账户身份登陆，检查此身份是否可以进行权限变更、用户增删等操作。用户主机任意%任意localhostadd_user007%add_user1%add_user11111%add_user123%adder_user127.0.0. 1密玛否否是否否昱否否USAGEUSAGESELECT, INSERT, UPDATE, DELETESELECT, INSERT, UPDATE, DELETEUSAGEUSAGEUSAGEUSA

34、GE测试结果：该系统存在默认用户。且限制了其访问权限。授权否否否否否否否否否d）应授予不同帐户为完成各自承担任务所需的最小权限，在它们之间形成相互制约的关 系。（1）访谈系统管理员，询问系统所有帐户是否只拥有完成自承担任务所需的最小权限，相 互之间是否形成相互制约关系。测试结果：系统所有帐户应只拥有完成自己承担任务所需的最小权限。（2）检查应用系统，查看不同帐户的权限是否分离（如管理员不能审计、审计员不能管理、 安全员不能审计和管理等、审计员不能修改自己的行为日志等）。权限之间是否相互制约。步骤1：选择权限项，查看系统中的root用户被赋予的权限。root127. 0. 0. 1否ALL FF

35、JLEGES是Aroot:1否ALL FFJWLEGES是rootlocalhost否ALL FRIVILEGES是userhia%是SELECT, INSERT. 1.THATE., DELETE否11%否USAGE否123%否ALL FRIVILEG吒是步骤2:查看root用户的权限。厂数据厂结构厂管理SELECTINSERTUPDATEDELETEFILECMATEALTERIlTIiEXIiROF匚REATE TEMFOWLY TABLEESHOW VIEWGRWSUPERPROCESSEELOAIiSHi.rrnriWHSHOW DATABASESCREATE ROUTINEALTE

36、R RLil.ITIirELOCK TABLEEREFERENCES* EXEC1.ITE oot用户拥有所有权 员身份进行审计操彳 用户权限的操作（也可进行-些其他管理员讲行的操作），杳看是否成功。测试结果:（3）以管理/未实现权限分离。 查看是辔成功。REFUCATION CLIENT以审计员身份进行删除增加用户、设定步骤：以root身份登陆系统，查看权限，以及二进制日志。加腹箸：ffi： localhost萍数据库 蟲SQL 零狀态 團变量 関字符集 剧引睾 卷权限 国二进制日志 囁进程 前导出3用户可咲访问neatest用户主机授权掾作任意%按数据库指定ALL FFJTOLEGES是1

37、 nqOf全局ALL FFJTOLEGES是1Ai按数据库指定ALL FFJTOLEGES是add_user%全局SELECT, INSERT, l.TDATE., DELETE否add_user007%全局SELECT, INSERT, l.TDATE., DELETE否:inyuser%全局SELECT, INSERT, l.TDATE., DELETE, SHOW TOErt1否myuserlocalhost全局SELECT, INSERT, l.TDATE. DELETE, SHOW VIEW否厂按数据库指定权隈（全选/全不选）庄爺:汐二校限名隸会氐英立显示数据SELECTINSERT

38、UPDATEDELETE厂结构厂管理CREATEALTERINDEXDEOPCREATE TEMPORARY TABLESSHOW VIEWGRABT lock 1TABLESREFERENCES试结果：管理员身份进行审计操作CREATE ROUTINE，成功。说明管理员拥有审计员的权限。（4）以拥有其他权限的用户身份登录，查看其权限是否受到限制。 方法：以 add_userl23身份或其他非root身份 户、设定用户权限等权限。ER登入系统，查看其是否具有增加用户、删除无【权限】选项）e）应具有对重要信息资源设置敏感标记的功能；f）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；方

39、法:访问管理员查看是否有敏感标记功能以及是否依据安全策略严格控制用户对有敏感标 记重要信息资源的操作；测试结果：无敏感标记功能。3）安全审计本项要求包括：a）应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；（1）访谈安全审计员，询问是否有安全审计功能，对事件进行审计的选择要求和策略是什 么。（2）检查应用系统的审计策略（审计记录），查看审计策略（或记录）是否覆盖到每个用户。 都对哪些安全事件进行审计。（3）多次以任意用户身份登录系统，进行一些操作，包括重要的安全相关操作或事件（如 用户标识与鉴别、自主访问控制的所有操作记录（如用系统管理员身份改变用户权限，增加 或删除用户）

40、，用户的行为（如删除数据、多次登录失败等）。（4）用审计人员的身份登录系统，查看系统对上述用户的重要操作或事件是否进行审计。以下步骤以root用户为例，测试root用户变更add_user访问权限时，系统日志有无记录。 步骤1：以root身份登入系统，为add_user用户增加对“test”数据库的SELECT, INSERT, 步骤2：选中二进制日志选项卡，查看最近更新的日志，图例中为mysql-bin.OOOOl.选中 后点击执行按钮。UPDATEQELETE 权限。稣数据库擁SQL診编辑权限：用全局投限（全选/尊狀态匐变量関字符集劇引拿尸 r add_userl23r 9(崔不诜）回 S

41、ELECT 回 INSERT回 UPDATEI DELETEFILE结构管理CREATEALTERI1IDEKDEOFCREATE TEMFORkRY TABLESSUFERFEOCESSRELOADSHUTDOWSHOW VIEWSHOW DA：步骤3：查看日志信息。日志文杵名位置事件类型服务器TD初始检置信息nysql-bin. 0000014FurnLat_desc1107Server ver: 5 5 8-lugj Bmlog ver:nysql-bin. 000001107St Up1126测试结果：应有安全审计功能、对事件进行审计的选择要求和策略。审计策略（审计记录） 应覆盖到每个

42、用户。对任意用户操作的审计记录功能应有效。b）应保证无法删除、修改或 覆盖审计记录；（1）访谈安全审计员，询问应用系统对审计日志的处理方式有哪些。（2）以普通用户身份试图删除、修改或覆盖自身的审计记录，查看能否成功。试图删除、 修改其他人的审计记录，查看能否成功。（3）如果审计记录能够导入，则导出审计记录并进行修改后导入系统，查看能否覆盖以前 的审计记录。步骤：以非root用户身份登入系统，尝试查看并删除、修改或覆盖自身的审计记录。 下图显示普通用户无法查看日志记录（视图中无日志选项）。少QL廖引翠幄作團退出MySQL localhost曲新建数聒曄： O无权限测试结果：普通用户无法删除、修改

43、或覆盖自身的审计记录；如果审计记录能够导入，则导 出审计记录并进行修改后导入系统，应不能覆盖以前的审计记录。b）应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；方法：以root身份登录，查看二进制日志。看是否能够修改审计记录。mysql-bin.000001 （126 字节）=E 文件，173, S40 字节日志文杵名包置事件类星服务器ID初始童置mysql-bin. 0000014Furniat_desc1107Server ver: 558-log3 Binlog ver: 4mysql-bin. 000001107St up1126&您的SQL语句已成功运行iT -WSfr -

44、nPinMirAdTn-测试结果：无修改审计记录的选项。C）审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；（1）以审计员身份登录系统，检查审计记录内容是否包括事件发生的日期、时间、发起者 信息、事件类型、事件相关描述信息、事件的结果等。步骤：以root身份登入系统，选中二进制日志选项卡，查看日志信息包含的内容。测试结果：审计记录内容包括事件发生的日期、时间、发起者信息、事件类型、事件相关描 述信息、事件的结果等。d）应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。查看二进制日志，看是否有报表和分析的选项。测试结果：没有对审计记录数据进行统计、查询、分析

45、及生成审计报表的功能。4）通信完整性本项要求包括：a）应采用校验码技术保证通信过程中数据的完整性。（1）询问安全管理员应用系统是否有数据在传输过程中进行完整性保证的操作，具体采取 什么措施。（2）应检查设计、验收文档，查看其是否有通信完整性的说明，如果有则查看是否采用校 验码技术保证通信完整性。测试结果：系统有数据在传输过程中进行完整性保证的措施。5）通信保密性本项要求包括：a）在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；（1）询问安全管理员系统在通信双方建立连接之前采用什么技术进行会话初始化验证。（2）应检查设计、验收文档，查看其是否有通信保密性的说明，如果有则查看是否

46、有利用 密码技术进行通信会话初始化验证的说明。测试结果：对初始化验证措施有文档说明。b）应对通信过程中的敏感信息字段进行加密。（1）询问安全管理员应用系统的敏感信息字段在通信过程中是否采取保密措施，具体采取 什么措施。（2）应检查设计、验收文档，查看其是否有通信保密性的说明，如果有则查看是否有对通 信过程中的敏感信息字段进行加密的说明。测试结果：系统的敏感信息字段在通信过程中应采取保密措施；对保密措施应有文档说明。6）软件容错本项要求包括：a）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的；（1）访谈管理员，询问是否有保证软件具有容错能力的措施，具体采取哪些措施。（2）在应

47、用终端输入不同（如数据格式或长度等符合、不符合软件设定的要求）的数据， 包括登录标识与鉴别数据、其他操作数据等，查看系统的反应。以下步骤以增加用户为例。步骤：在浏览器地址栏输入http:/目标主机IP地址/dede/login.php，依次展开系统- 系 统用户管理- 增加管理员，在用户密码设置处输入“-9、a-z、A-Z、.、_、-、 ! ”以外的字符，测试系统是否能增加此用户。OadeCMS提耕息！密码或或用户容不合法，谓便用L0-9a-zA-Z_!.-内的字符!如果你的划览器设&应，清点击这甲.，测试结果：有保证软件具有容错能力的措施；有数据格式、长度等格式控制。b）在故障发生时，应用系

48、统应能够继续提供一部分保护功能，确保能够实施必要的措施。（1）询问管理员应用系统是否发生过故障，故障发生时是否能够继续提供一部分功能保证 实施必要的措施。测试结果：系统故障发生时有能够继续提供一部分功能保证实施必要的措施。7）资源控制本项要求包括：a）当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应 能够自动结束会话；（1）访谈应用系统管理员，询问业务系统是否有资源控制的措施，具体措施有哪些。（2）登录应用系统服务器，查看应用系统属性是否设置了连接超时限制。方法：以某一用户身份登陆phpMyAdmin,长时间不作任何操作，查看系统反应。测试结果：有资源控制的措施；应用系统服务器有

49、连接超时限制。b）应能够对应用系统的最大并发会话连接数进行限制；（1）询问管理员应用系统同时最多支持多少个并发会话连接？是否有限制？（2）登录应用系统服务器，查看系统是否设置了参数限制最大并发会话连接数。步骤1：浏览器地址栏键入目标主机IP地址/phpmyadmin,选择权限项，查看各个用户 被赋予的权限。root127. 0. 0. 1否ALL FRIVILEGES是root:1否ALL FFLEWLEGES是rootlocalhost否ALL FRIVILEG吒是userh：dlia%是SELECT, INSERT,. 1.THATE,. DELETE否11%否USAGE否123%否ALL

50、 FRIVILEGES是步骤2：查看每小时服务器最大连接数max_connections。测试结果：系统没有设置参数限制最大并发会话连接数。c）应能够对单个帐户的多重并发会话进行限制。（1）询问管理员单个帐户同时可以发起多少个并发会话，是否有限制？（2）登录应用系统服务器，查看系统是否对单个帐户的多重并发会话进行限制。（3）以超过单个帐户规定的并发会话连接数连接系统，测试能否成功。 步骤：查看每个数据库用户的最大连接数max user_connections。测试结果：对单个帐户同时可以发起的并发会话应有限制；对单个帐户的多重并发会话没有 进行限制。d）应能够对一个时间段内可能的并发会话连接数

51、进行限制；e）应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；f）应能够对系统服务水平降低到预先规定的最小值进行检测和报警； 结果：该系统无报警功能。g）应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先 级，根据优先级分配系统资源。8）数据完整性本项要求包括：a）应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏。（1）询问安全管理员应用系统的鉴别信息和重要业务数据在传输过程中是否有完整性保证 措施，具体措施有哪些。（2）检查应用系统，查看其是否配备检测、验证鉴别信息和重要业务数据在传输过程中完 整性受到破坏的功能。测试结果：应用系统的

52、鉴别信息和重要业务数据在传输过程中有完整性保证措施；有检测、 验证鉴别信息和重要业务数据在传输过程中完整性是否受到破坏功能。9）数据保密性本项要求包括：a）应采用加密或其他保护措施实现鉴别信息的存储保密性（1）询问安全管理员应用系统的 鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性。（2）检查应用系统设计、验收文档，查看其是否有关于其鉴别信息、敏感的用户数据采用 加密或其他有效措施实现传输保密性的描述。（3）检查应用系统，查看其鉴别信息和重要业务数据是否采用加密或其他有效措施实现传 输保密性。测试结果：对系统的鉴别信息和重要业务数据采用加密或其他有效措施实现传输保密性； 有对相

53、关措施的文档说明。10）备份和恢复本项要求包括：a）应能够对重要信息进行备份和恢复；（1）询问安全管理员应用系统是否具有对重要信息进行备份的功能，配置如何。是否提供 对重要信息进行恢复的功能。（2）检查应用系统设计/验收文档，查看其是否有描述应用系统提供用户备份和恢复重要信 息的功能的描述。（3）检查应用系统，查看其是否提供对重要信息进行备份和恢复的功能，其配置是否正确。 结果：提供对重要信息进行备份和恢复的功能；文档中有对应用系统提供用户备份和恢复重 要信息的功能的描述。b）应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性。（1）询问系统管理员是否定期验证备份数据的可用性？（2）查看相关文档，检查是否具有验证备份数据可用性的记录。结果：定期验证备份数据的可用性；具有验证备份数据可用性的记录。五、实验思考或体会体会：通过本次实验，我掌握了网站应用安全测评及加固的测评方法（按照三级标准）。 同时也发现我们的网站存在着很多的安全性问题。在以后会更加注重网站安全问题。对网站 的安全评估也是防止发生泄密的重要途径之一。正所谓要居安思危，要不断地发现问题，解 决问题。从各方面更细化的检测问题。