网站漏洞测试的全面性

关键要点

• 关注应用程序的漏洞测试是必要的，但不能忽视Web服务器本身的安全性。
• Web服务器漏洞占据了漏洞报告的一大部分，尤其是老旧软件、加密配置失误等。
• 应主动发现并解决这些漏洞，特别是那些对企业影响较大的高优先级问题。
• 进行详细的扫描与分析，以确定环境中特定风险的优先级，是防范攻击的关键。

网站漏洞测试的重点主要集中在应用程序本身，这一点是非常有道理的。不过，网络安全的一个重要方面是在于整体视角。虽然应用特有的漏洞固然重要，但这并不能反映出整个安全状况。因此，仔细检查Web服务器本身是至关重要的。

回顾我近几年的Web漏洞和渗透测试项目，我的报告中有一半甚至三分之二的漏洞都是由Web服务器自身引起的。通常我认为的关键或高优先级的Web服务器漏洞包括：

漏洞类别 | 说明
—|—
缺少补丁与不被支持的软件 | 想想及其他时常发现的Web服务器漏洞
加密错误配置 | 包括弱加密协议和密码、过期证书，尤其是没有加密，暴露了登录页面和其他处理敏感信息的Web表单
目录和文件暴露 | 有时这些是无价值的文件，但有时却不是
开放服务 | 如FTP、Telnet和Web代理（想象一下托管一个正在促进其他攻击的Web服务器）

除了上述高风险漏洞，还有一些我认为属于中等风险的Web服务器漏洞，通常被视为最佳实践，包括：

• 启用了ASP.NET（或类似）的调试功能

尽管这些漏洞可能看似较轻微，但累积起来也可能促进更大的攻击风险。因此，及时发现并采取行动是明智的长期做法。

在扫描和测试这些Web服务器漏洞之外，下一步是确定哪些问题值得关注。这需要考虑许多变量，因为每种情况都是不同的。进行详细的扫描和测试，随后分析环境中的具体风险，是处理这些问题的最佳方法。显然，你应该关注那些对业务影响最大的关键和高优先级问题。我常常看到中等Web服务器相关漏洞被忽视，没有得到解决。最明智的方法是全面考虑各方面，找到最佳的时间、金钱和精力投入点。最终，只有你自己才能找到这个答案。

重要的是，你正在努力关注你的Web环境中的每一个方面——而不仅仅是应用程序。Web服务器同样需要重视。

作者：