信息安全测评实验三

西南科技大学计算机科学与技术学院

实验报告

实验名称网站应用安全测评及加固实验地点

实验日期

指导教师

学生班级

学生姓名

学生学号

提交日期

2015年3月信息安全系制

一、实验目的

通过对网站系统进行安全测评和安全加固，掌握应用安全测评方案的设计、安全测评实施及结果分析；掌握安全加固的方法。

二、实验题目

根据《信息系统安全等级保护基本要求》的第三级基本要求，按照实验指导书中的示范，对网站应用进行安全测评，安全等级为三级

选用应用网站网址：http://10.11.0.65/index.html

三、实验设计

应用安全涉及人类工作和生活的方方面面，为了考虑计算机应用系统的安全，需要逐一分析各行各业的特点，可是这是难以做到的。因此，我们只能把握计算机应用系统的基础，有什么样的安全测评要求，以便在这条“高速公路”上行驶的“人员”能够“放心驾驶”。至于“他们开什么样的车，开往何方”等，则只好在今后的测评工作中就事论事了。国家标准从管理和技术两个层面，对应用安全测评提出了若干条款。按照三级要求，国家标准中把应用安全的分为身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制九个方面。

（1）身份鉴别。

b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；

可以通过登陆时是否需要验证以及具体需要验证的种类来查看。

（2）访问控制。

e) 应具有对重要信息资源设置敏感标记的功能；

f) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；

通过访问管理员的方式。

（3）安全审计。

b) 应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

查看二进制日志是否有修改编辑的选项。

d) 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

查看二进制日志是否有自动分析过滤生成报表的功能。

（4）剩余信息保护。

a) 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

b) 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

1.询问管理员，具体措施有哪些。

2.检查设计/验收文档。

3.以普通用户身份登录并进行一些操作。

（5）通信完整性。

应采用密码技术保证通信过程中数据的完整性。

访问管理员在通信过程中是否对数据加密。或者查看系统设置，看是否有对信息加密处理的选项设置。

（6）通信保密性。

b) 应对通信过程中的整个报文或会话过程进行加密。

访问管理员在通信过程中是否对信息加密。或者查看系统设置，看是否有对信息加密处理的选项设置。

（7）抗抵赖。

a) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；

b) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

访问管理员，询问系统是否具有抗抵赖性，具体措施有哪些。

（8）软件容错。

b) 应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。采用渗透测试的方法来验证系统中是否存在明显的弱点。

（9）资源控制。

d) 应能够对一个时间段内可能的并发会话连接数进行限制；

e) 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；

f) 应能够对系统服务水平降低到预先规定的最小值进行检测和报警；

g) 应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。

1.访问管理员，是否有相应措施。

2.查看资源控制列表，是否有相应选项。

四、实验记录

1) 身份鉴别

本项要求包括：

a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

（1）访谈应用系统管理员，询问应用系统是否提供专用的登录控制模块对登录的用户进行身份标识和鉴别，采用何种方式对用户进行身份标识和鉴别。

预期结果：在业务需要的情况下应该提供专用的登录控制模块对登录的用户进行身份标识和鉴别。

（2）检查应用系统，查看用户是否必须通过专用的登录控制模块才能登录该系统，查看身份标识和鉴别的方式。

步骤：打开http://目标主机IP 地址/dede/login.php，查看用户是否需要进行身份标识和鉴别。

测试结果：需要进行身份标识和鉴别，用户必须通过专用的登陆控制模块才能登陆系统。（3）以某注册用户身份登录系统，查看登录是否成功。

步骤：打开http://目标主机IP 地址/dede/login.php，然后用注册账户admin，密码admin 登

录系统。查看是否能够登录成功；

测试结果：用正确的注册用户身份可以登录系统。

（4）以非法用户身份登录系统，查看登录是否成功。

步骤：在登录栏处，随意输入一个未经注册的非法用户，查看是否能够登录成功。

测试结果：用非注册用户身份或者错误的注册用户身份信息不可以登录系统。

b) 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

（1）询问应用系统管理员，应用系统的用户身份标识是否唯一。采取了什么措施防止身份鉴别信息被冒用。

测试结果：用户身份标识唯一，并采取措施防止身份鉴别信息被冒用。

（2）检查总体规划/设计文档，查看其是否有系统采取了唯一标识的说明。查看其身份鉴别信息是否具有不易被冒用的特点。

测试结果：对用户身份唯一标识有文档说明。

（3）检查应用系统是否有专门的设置保证用户身份鉴别信息不易被冒用，如果应用系统采用口令进行身份鉴别，则查看是否有选项或设置强制要求口令长度、复杂度、定期修改等。步骤1：使用正确用户名和密码登录后台，依次点击[系统] -> [系统用户管理]，在出现的界面上点击[更改]选项，进入后会看到相应的修改提示。

步骤2：按照修改提示设置新的用户密码，检查系统是否配备了鉴别信息复杂度的检查功能。在检查时，使用简单口令，如“1”，输入安全验证串，然后点击[保存用户]，查看系统是否具有口令复杂度检查功能。

预期结果：应有口令长度、复杂度的设置，并可以控制用户口令是否进行定期修改。（4）以已有的用户名重新注册，测试系统是否禁止该操作。

步骤1：依次点击[系统] -> [系统用户管理]，在出现的界面上点击[增加管理员]选项。

步骤2:用已注册用户名admin 尝试注册。

测试结果：禁止已有用户名的重新注册，提供了用户身份标识唯一和鉴别信息复杂度检查功能。

（5）扫描应用系统，测试其鉴别信息复杂度检查功能，检查系统是否不允许存在弱口令、空口令等。

步骤1：在添加用户时，在密码处不输入任何字符，查看是否允许存在空口令操作。

步骤2：在添加用户时，在密码处输入简单字符，如“11”，查看是否允许存在弱口令操作。

测试结果：允许存在弱口令、空口令。

c) 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；（1）询问管理员应用系统是否具有登录失败处理的功能（如结束会话、限制非法登录次数，当登录连接超时，自动退出等），是如何进行处理的。

测试结果：应当限制登录失败次数。当登录连接超时，应当自动退出或提示。

（2）检查应用系统，如果有登录失败处理设置选项或模块，查看系统是否设置或选中了该功能。

步骤：点击系统设置，查看是否有登录失败处理设置或模块，再进行查看。

测试结果：登录失败时没有相应提示或处理选项、模块。

（3）根据应用系统使用的登录失败处理方式，采用如下测试方法之一或全部：

步骤1：以错误的用户名或密码登录系统，查看系统的反应。

步骤2：以系统规定的非法登录次数登录系统，查看系统的反应。

步骤3：登录系统进行连接超时时，查看系统的反应。

测试结果：用错误的用户名或密码无法登录。登录失败次数超出限制时，系统有相应处理。登录系统超时后有相应处理。

d) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

步骤1：询问系统管理员应用系统的身份鉴别、身份标识唯一性检查、鉴别信息复杂度检查以及登录失败处理功能是否有专门的模块或选项，是否有相关参数需要配置。

测试结果：对身份鉴别、身份标识唯一性检查、鉴别信息复杂度检查以及登录失败处理功能应有专门的模块、选项或配置参数。

步骤2：如果有参数需要配置，则查看实际配置情况，是否已经启用上述功能。

测试结果：如有相关参数配置，应开启了上述功能。

e) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；

步骤：打开http://目标主机IP 地址/dede/login.php，然后查看如何才能够登录成功；

方法2：以管理员root的身份登陆，而后查看【系统】---【验证安全设置】选项

测试结果：使用了验证码和用户密码口令两种鉴别技术。

2) 访问控制

本项要求包括：

a) 应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；

（1）询问应用系统管理员，系统是否提供访问控制功能，访问控制策略是什么？自主访问控制的粒度如何？

测试结果：系统应提供访问控制功能，访问控制策略。

（2）检查应用系统，查看系统是否提供访问控制机制。

步骤：浏览器地址栏键入“目标主机IP 地址/phpmyadmin”，用户名键入root，密码为空，选择[数据库]项，检查用户对各个数据库的访问权限。

测试结果：系统提供了访问控制机制。

（3）检查应用系统，查看系统是否设置有安全策略控制用户对文件、数据库中的数据等进行访问。

步骤1：浏览器地址栏键入“目标主机IP 地址/phpmyadmin”，选择[数据库]项，点击查看各个数据库的访问权限。

步骤2：点击编辑各个数据库的权限。

测试结果：系统设置有安全策略控制用户对文件、数据库中的数据等进行访问

（4）检查应用系统，查看系统的访问控制粒度是否达到主体为用户级，客体为文件、数据库表级。

步骤：以某一用户身份登入系统，选择[数据库]选项卡，查看访问控制粒度是否达到数据表级。

测试结果：系统的访问控制粒度达到主体为用户级，客体为文件、数据库表级。

（5）以某一用户身份登录系统，依据安全策略对客体进行访问，测试是否成功。该用户不依据安全策略对客体进行访问，测试是否成功。

步骤1：以root 身份登入系统，尝试对数据库进行增加、删除、查询、修改用户权限等操作，查看root 用户权限。

删除数据库：

搜索查询、导出数据库：

查看、更改访问权限：

步骤2：以任意非root 用户身份登入系统，尝试对数据库进行添加、删除、查询等操作，查看其是否具有相应权限。例如，以anyuser 身份登入系统：

无法查看日志信息，无法查看权限设置，无新建数据库权限，可查询数据库information_schema，但无删除数据库权限：

可浏览、查询数据库：

测试结果：以某一用户身份登录系统，依据安全策略对客体进行访问，结果成功。但如果该用户不依据安全策略对客体进行访问，结果则为失败。

b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；

（1）访谈管理员，询问系统访问控制策略是否覆盖到与信息安全直接相关的主体、客体及它们之间的操作？

测试结果：系统访问控制策略应覆盖到与信息安全直接相关的主体、客体及它们之间的操作。（2）查看系统的具体安全策略内容是否覆盖到与信息安全直接相关的所有主体、客体及它们之间的操作。

测试结果：系统的具体安全策略内容应覆盖到与信息安全直接相关的所有主体、客体及它们之间的操作。

c) 应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

（1）检查应用系统，查看系统是否有由授权主体配置访问控制策略的功能。

方法：以root 身份登陆系统，选择[数据库]选项卡，查看是否能够配置对各个数据库的访问策略。例如，可进行以下步骤配置用户对数据库test 的访问策略。

步骤1：检查“test”数据库的权限。

步骤2：点击如图按键即可针对不同用户对数据库“test”的权限进行编辑。

测试结果：系统有由授权主体配置访问控制策略的功能。

（2）如果系统有由授权主体配置访问控制策略的功能，则以该授权主体用户登录系统，查看某个特定用户的权限。以该用户身份登录系统，进行在权限范围内和权限范围外的一些操作，查看是否成功。

步骤1：添加用户。选择[权限]->[添加新用户]，添加一个名为[add_user123]的新用户，不为其创建数据库，不对其赋予任何特殊权限。

步骤2：退出当前登陆，以新建用户add_user123 身份登入系统，尝试对数据库进行添加、删除、查询等操作，查看add_user123 是否具有相应权限。

无法查看日志信息，无法查看权限设置，无新建数据库权限

可查询数据库information_schema和newtest，但无删除数据库权限：

可浏览查看数据库：

测试结果：进行在权限范围内的操作，成功；权限范围外的操作，则失败。

（3）以该授权主体用户登录系统，修改上述特定用户的权限。以该用户身份登录系统，查看该用户的权限是否与刚修改过的权限保持一致，验证用户权限管理功能是否有效。

方法：以root 身份登陆系统，修改刚才新建用户add_user 的权限，例如：取消add_user 访问“test”数据库的权限，然后以add_user123 身份登入系统，查看add_user123 是否有权访问“newtest”数据库。

步骤1：以add_user123 身份登入系统，查看当前可以访问的数据库。

步骤2：以root 身份登陆系统，取消非root 用户对“newtest”数据库的所有权限。

步骤3：再次以add_user123 身份登入系统，查看当前可以访问的数据库是否包含“newtest”数据库。

测试结果：权限管理正确。

（4）检查应用系统，查看系统是否有默认用户，如果有，是否限制了默认用户的访问权限。步骤：选择[权限]项，查看系统中存在的用户（除了add_user123 为新增用户，其他用户没有进行任何更改）。

（5）如果有默认帐户，以默认帐户（默认密码）登录系统，并进行合法及非法操作，测试系统是否对默认帐户访问权限进行了限制。

方法：以任一默认账户身份登陆，检查此身份是否可以进行权限变更、用户增删等操作。

测试结果：该系统存在默认用户。且限制了其访问权限。

d) 应授予不同帐户为完成各自承担任务所需的最小权限，在它们之间形成相互制约的关系。

（1）访谈系统管理员，询问系统所有帐户是否只拥有完成自承担任务所需的最小权限，相互之间是否形成相互制约关系。

测试结果：系统所有帐户应只拥有完成自己承担任务所需的最小权限。

（2）检查应用系统，查看不同帐户的权限是否分离（如管理员不能审计、审计员不能管理、安全员不能审计和管理等、审计员不能修改自己的行为日志等）。权限之间是否相互制约。步骤1：选择[权限]项，查看系统中的root 用户被赋予的权限。

步骤2: 查看root 用户的权限。

测试结果：root用户拥有所有权限，未实现权限分离。

（3）以管理员身份进行审计操作，查看是否成功。以审计员身份进行删除/增加用户、设定用户权限的操作（也可进行一些其他管理员进行的操作），查看是否成功。

步骤：以root 身份登陆系统，查看权限，以及二进制日志。

测试结果：管理员身份进行审计操作，成功。说明管理员拥有审计员的权限。

（4）以拥有其他权限的用户身份登录，查看其权限是否受到限制。

方法：以add_user123 身份或其他非root 身份登入系统，查看其是否具有增加用户、删除用户、设定用户权限等权限。