系统在终验前,需要做渗透测试。因为系统在内网,所以安全性方面,一直都没重视过,这次测试前没做什么准备,只是原样在内网另布了一套,连数据也没拷过来一份。我问项目经理苏林,这次都测那些方面啊,因为我平时负责一些报表模块,有文件上传功能没做什么限制,怕被测出漏洞,他说不知道,我也就没在意。
集团科研院派了两个MM过来,一个是经验者,另一个跟着学。用几种测试工具测了半天,测出一些问题,后来说没有数据,有的模块会测不到,又把生产的数据拷了过来。这一下测了一天,查出问题就多了。苏林一看慌了,说测试报告出来,要是让信息中心的领导看到,不得骂死。又经过半天的手工验证,出了一个大致的问题列表,多项都是高危级别,最多的是sql注入、反弹式的跨站、钓鱼。我所担心的报表模块,因为帆软在测试环境上没配授权,所以并没有测到,开始整改,几乎所有sql都有问题。都修正完之后,又请MM来测了一遍,不过最终,这次改过的版本,也没敢上生产环境,因为改动实在太多了,谁也不敢担保没改出其他bug来。大家心里都觉得sql注入是小问题,不过网上说,正因为sql注入容易实施,所以才会是高危漏洞。以前以为,注入漏洞已经不常见了,实际上还是普遍存在的。旁观了一次渗透测试,才知道很有用。另一个在建的项目,了解我们这次被测到的漏洞,一边开发一边就把这些问题都改了,等到验收做渗透的时候,报告一定很好看。
过了几个月,测试报表也没有做好发过来