一种黑盒测试的方法
【专利摘要】本发明公开了一种黑盒测试的方法，包括：S1.检查客户端提交的构造语句以及外部输入的数据信息；S2.判断是否存在对可执行的函数入口进行过滤；若否，进入步骤S3，若是，返回步骤S1；S3.设置对所述的对可执行的函数入口的过滤器。本发明提供的黑盒测试的方法能通过对源代码的静态分析，一方面可以找出潜在的风险，从内对软件进行检测，提高代码的安全性，另一方面也可以进一步提高代码的质量可以使得软件的安全性得到很大程度的提高。
【专利说明】一种黑盒测试的方法
【技术领域】
[0001]本发明涉及系统安全检测的领域，特别涉及一种黑盒测试的方法。
【背景技术】
[0002]现在，网络上出现了越来越多的cracker，他们入侵计算机系统，使用扫描器到处乱扫，用IP炸弹炸人家，毫无目的地入侵，破坏着，他们并无益于电脑技术的发展，反而有害于网络的安全和造成网络瘫痪，给人们带来巨大的经济和精神损失。攻击手段可分为非破坏性攻击和破坏性攻击两类。非破坏性攻击一般是为了扰乱系统的运行，并不盗窃系统资料，通常采用拒绝服务攻击或信息炸弹；破坏性攻击是以侵入他人电脑系统、盗窃系统保密信息、破坏目标系统的数据为目的，如何找到系统中的漏洞，以防御黑客入侵成为人们面临的一个课题。
[0003]黑盒测试也称为外部测试，在进行黑盒测试时，渗透测试人员将在不了解任何被测试组织的内部结构和技术的情况下，从远程对其网络结构进行审计。通过使用真实世界中的黑客技术，并合理地组织各个测试阶段，找出一些已知和未知的漏洞。
【发明内容】
[0004]为解决以上的问题，本发明提供黑盒测试的方法。
[0005]本发明公开了一种黑盒测试的方法，包括:
[0006]S1.检查客户端提交的构造语句以及外部输入的数据信息；
[0007]S2.判断是否存在对可执行的函数入口进行过滤；若否，进入步骤S3，若是，返回步骤SI ；
[0008]S3.设置对所述的对可执行的函数入口的过滤器。
[0009]在本发明所述的黑盒测试的方法中，所述的步骤S3后还包括步骤S4:检查HTTP头文件中的变量的初始化，禁止header O函数中的参数外界可控。
[0010]在本发明所述的黑盒测试的方法中，所述的步骤S4后还包括步骤S5，过滤SQL语句中的符号字符。
[0011]在本发明所述的黑盒测试的方法中，所述的步骤S5后还包括步骤S6，定义上传文件的白名单，文件上传目录禁止脚本解析。
[0012]在本发明所述的黑盒测试的方法中，所述的步骤S6还包括步骤S7:利用系统本地漏洞提升权限，获得超级用户权限以及系统权限，从而进一步攻击本地网络。
[0013]在本发明所述的黑盒测试的方法中，所述的步骤S7还包括步骤S8:获取一图片的URL地址,然后以http://www.test, com/1, jpg/1, php的方式访问，如图正常返回，说明漏洞存在，然后查找网站中存在上传的地方，上传内容为脚本后门的图片文件，获取上传后的图片地址后，通过http://www.test, com/1, jpg/1, php方式访问，即可获取到脚本后门。
[0014]在本发明所述的黑盒测试的方法中，所述的S8还包括步骤S9:获取到DNS服务器或者DNS服务器网段所在某台机器，通过直接修改或者arp欺骗等方式，域名的解析记录控制权，进而修改此域名的解析结果，导致对该域名的访问由原IP地址转入到修改后的指定IP，其结果就是对特定的网址不能访问或访问的是假网址，从而实现窃取资料或者破坏原有正常服务的目的。
[0015]在本发明所述的黑盒测试的方法中，所述的步骤S9还包括步骤S10:对所有的漏洞进行修补后，返回步骤Si。
[0016]本发明的一种黑盒测试的方法，具有以下有益效果:
[0017]本技术方案在不破坏组织正常业务的前提下，模拟黑客可能的行为攻击，使用安全工具与手工相结合的方式，对授权渗透测试的目标系统进行深入的探测，并从中发现当前系统架构中的薄弱环节和潜在安全隐患。
【专利附图】
【附图说明】
[0018]为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
[0019]图1为本发明第一实施例一种黑盒测试的方法流程示意图。
【具体实施方式】
[0020]通过下面给出的本发明的具体实施例可以进一步了解本发明，但它们不是对本发明的限定。对于本领域的技术人员根据上述
【发明内容】
所作的一些非本质的改进与调整，也视为落在本发明的保护范围内。
[0021]请参阅图1，本发明实施例，一种黑盒测试的方法，包括:
[0022]S1.检查客户端提交的构造语句以及外部输入的数据信息；
[0023]S2.判断是否存在对可执行的函数入口进行过滤；若否，进入步骤S3，若是，返回步骤SI ；
[0024]S3.设置所述的对可执行的函数入口的过滤器。
[0025]由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似systemO, eval O , exec O等函数是该漏洞攻击成功的最主要原因。
[0026]漏洞利用样例:
[0027]
【权利要求】
1.一种黑盒测试的方法，其特征在于，包括: 51.检查客户端提交的构造语句以及外部输入的数据信息； 52.判断是否存在对可执行的函数入口进行过滤；若否，进入步骤S3，若是，返回步骤SI ； 53.设置对所述的对可执行的函数入口的过滤器。
2.根据权利要求1所述的黑盒测试的方法，其特征在于，所述的步骤S3后还包括步骤54:检查HTTP头文件中的变量的初始化，禁止header O函数中的参数外界可控。
3.根据权利要求2所述的黑盒测试的方法，其特征在于，所述的步骤S4后还包括步骤55:过滤SQL语句中的符号字符。
4.根据权利要求3所述的黑盒测试的方法，其特征在于，所述的步骤S5后还包括步骤56:定义上传文件的白名单，文件上传目录禁止脚本解析。
5.根据权利要求4所述的黑盒测试的方法，其特征在于，所述的步骤S6还包括步骤57:利用系统本地漏洞提升权限，获得超级用户权限以及系统权限，从而进一步攻击本地网络。
6.根据权利要求5所述的黑盒测试的方法，其特征在于，所述的步骤S7还包括步骤58:获取一图片的URL地址,然后以http:"www.test, com/1, jpg/1, php的方式访问，如图正常返回，说明漏洞存在，然后查找网站中存在上传的地方，上传内容为脚本后门的图片文件，获取上传后的图片地址后，通过http://www.test, com/1, jpg/1, php方式访问，即可获取到脚本后门。
7.根据权利要求6所述的黑盒测试的方法，其特征在于，所述的S8还括步骤S9:获取到DNS服务器或者DNS服务器网段所在某台机器，通过直接修改或者arp欺骗等方式，域名的解析记录控制权，进而修改此域名的解析结果，导致对该域名的访问由原IP地址转入到修改后的指定IP，其结果就是对特定的网址不能访问或访问的是假网址，从而实现窃取资料或者破坏原有正常服务的目的。
8.根据权利要求1至9任一项所述的黑盒测试的方法，其特征在于，每一最后的步骤后还包括步骤S10:对所有的漏洞进行修补后，返回步骤SI。
【文档编号】G06F21/56GK104008335SQ201310062998
【公开日】2014年8月27日 申请日期:2013年2月27日 优先权日:2013年2月27日
【发明者】魏理豪, 王甜, 朱奕, 崔磊, 邹洪, 艾解清, 周开东, 张超, 梁哲恒 申请人:广东电网公司信息中心