Daftar Periksa Pengujian Penetrasi Server Web

  • Whatsapp
Daftar Periksa Pengujian Penetrasi Server Web
Daftar Periksa Pengujian Penetrasi Server Web
server web

Pentesting server web berkinerja di bawah 3 kategori utama yaitu identitas, Analisis, Laporan Kerentanan seperti kelemahan otentikasi, kesalahan konfigurasi, kerentanan Protokol Relasi.

1. “Lakukan serangkaian tes metodis dan Berulang” adalah cara terbaik untuk menguji server web bersama dengan ini untuk bekerja melalui semua Kerentanan aplikasi yang berbeda.

2. “Mengumpulkan Informasi Sebanyak-banyaknya” tentang sebuah organisasi Mulai dari lingkungan operasi adalah area utama untuk berkonsentrasi pada tahap awal pengujian Pen server web.

3. Melakukan Pengujian Otentikasi server web, gunakan Teknik rekayasa sosial untuk mengumpulkan informasi tentang Sumber Daya Manusia, Rincian Kontak, dan informasi Terkait Sosial lainnya.

4. Mengumpulkan Informasi tentang Target, gunakan whois alat kueri basis data untuk mendapatkan Detail seperti Nama domain, alamat IP, Detail Administratif, nomor sistem otonom, DNS dll.

5. Server web sidik jari untuk mengumpulkan informasi seperti nama server, jenis server, sistem operasi, aplikasi yang sedang berjalan di server dll menggunakan alat pemindai sidik jari seperti, Netcraft, HTTPrecon, ID Melayani.

6. Situs Perayapan untuk mengumpulkan informasi spesifik dari halaman web, seperti alamat email

7. Menghitung Direktori server web untuk mengekstrak informasi penting tentang fungsi web, formulir masuk dll.

8. Melakukan Serangan traversal direktori untuk mengakses Direktori Terbatas dan menjalankan perintah dari luar direktori root server Web.

9. Melakukan pemindaian kerentanan untuk mengidentifikasi kelemahan dalam jaringan menggunakan alat pemindaian kerentanan seperti: HPwebinspect, Nessus . dan menentukan apakah sistem dapat dieksploitasi.

10. Lakukan kita serangan keracunan cache untuk memaksa cache server web dibersihkan konten cache yang sebenarnya dan kirim secara khusus permintaan yang dibuat yang akan disimpan dalam cache.

11. Pertunjukan Serangan pemisahan respons HTTP untuk meneruskan data berbahaya ke aplikasi rentan yang menyertakan data dalam header respons HTTP.

12. Bruteforce SSH,FTP, dan kredensial masuk layanan lainnya untuk mendapatkan akses tidak sah.13. Lakukan pembajakan sesi untuk menangkap cookie sesi dan ID yang valid,menggunakan alat-alat seperti Burb rangkaian , domba api,pembajakan ke pembajakan sesi otomatis.

14. Melakukan serangan MITM untuk mengakses informasi sensitif dengan mencegat komunikasi antara pengguna akhir dan server web.

15. Gunakan alat seperti Webalizer, AWStats untuk memeriksa log server web .

Daftar Periksa Penting yang Disarankan oleh Microsoft

Jasa

  • Layanan Windows yang tidak perlu dinonaktifkan.
  • Layanan berjalan dengan akun yang paling tidak memiliki hak istimewa.
  • Layanan FTP, SMTP, dan NNTP dinonaktifkan jika tidak diperlukan.
  • Layanan Telnet dinonaktifkan.

Protokol

  • WebDAV dinonaktifkan jika tidak digunakan oleh aplikasi ATAU diamankan jika diperlukan.
  • Tumpukan TCP/IP dikeraskan
  • NetBIOS dan SMB dinonaktifkan (menutup port 137, 138, 139, dan 445).

Akun

  • Akun yang tidak digunakan akan dihapus dari server.
  • Akun tamu dinonaktifkan.
  • Akun IUSR_MACHINE dinonaktifkan jika tidak digunakan oleh aplikasi.
  • Jika aplikasi Anda memerlukan akses anonim, akun anonim khusus dengan hak istimewa akan dibuat.
  • Akun anonim tidak memiliki akses tulis ke direktori konten Web dan tidak dapat menjalankan alat baris perintah.
  • Kebijakan akun dan kata sandi yang kuat diterapkan untuk server.
  • Login jarak jauh dibatasi. (Hak pengguna “Akses komputer ini dari jaringan” dihapus dari grup Semua Orang.)
  • Akun tidak dibagikan di antara administrator.
  • Sesi null (logon anonim) dinonaktifkan.
  • Persetujuan diperlukan untuk pendelegasian akun.
  • Pengguna dan administrator tidak berbagi akun.
  • Tidak ada lebih dari dua akun di grup Administrator.
  • Administrator diminta untuk masuk secara lokal ATAU solusi administrasi jarak jauh aman.

File dan Direktori

  • File dan direktori terdapat pada volume NTFS
  • Konten situs web terletak pada volume NTFS non-sistem.
  • File log terletak pada volume NTFS non-sistem dan tidak pada volume yang sama di mana konten situs Web berada.
  • Grup Semua Orang dibatasi (tidak ada akses ke direktori WINNTsystem32 atau Web).
  • Direktori akar situs web telah menolak menulis ACE untuk akun Internet anonim.
  • Direktori konten telah menolak menulis ACE untuk akun Internet anonim.
  • Aplikasi administrasi jarak jauh dihapus
  • Alat kit sumber daya, utilitas, dan SDK dihapus.
  • Aplikasi sampel dihapus

Berbagi

  • Semua pembagian yang tidak perlu dihapus (termasuk pembagian administrasi default).
  • Akses ke pembagian yang diperlukan dibatasi (grup Semua Orang tidak memiliki akses).
  • Pembagian administratif (C$ dan Admin$) dihapus jika tidak diperlukan (Microsoft Management Server (SMS) dan Microsoft Operations Manager (MOM) memerlukan pembagian ini).

Pelabuhan

  • Antarmuka yang menghadap ke Internet dibatasi untuk port 80 (dan 443 jika SSL digunakan)
  • Lalu lintas intranet dienkripsi (misalnya, dengan SSL) atau dibatasi jika Anda tidak memiliki infrastruktur pusat data yang aman.

Registri

  • Akses registri jarak jauh dibatasi.
  • SAM diamankan (HKLMSystemCurrentControlSetControlLSANoLMHash).

Audit dan Logging

  • Upaya masuk yang gagal diaudit.
  • File log IIS dipindahkan dan diamankan.
  • File log dikonfigurasi dengan ukuran yang sesuai tergantung pada persyaratan keamanan aplikasi.
  • File log secara teratur diarsipkan dan dianalisis.
  • Akses ke file Metabase.bin diaudit.
  • IIS dikonfigurasi untuk audit format file log W3C Extended.

Sertifikat Server

  • Pastikan rentang tanggal sertifikat valid.
  • Hanya gunakan sertifikat untuk tujuan yang dimaksudkan (Misalnya, sertifikat server tidak digunakan untuk email).
  • Pastikan kunci publik sertifikat valid, sampai ke otoritas root tepercaya.
  • Konfirmasikan bahwa sertifikat belum dicabut.

Baca juga Daftar periksa Aplikasi Android pengujian penetrasi

Anda dapat mengikuti kami di Linkedin, Indonesia, Facebook untuk pembaruan Cybersecurity harian

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.