以下为《XX省高级人民法院量刑规范化辅助办案系统渗透测试报告-智慧XX》的无排版文字预览，完整格式请下载

下载前请仔细阅读文字预览以及下方图片预览。图片预览是什么样的，下载的文档就是什么样的。

公安部第一研究所

2019年11月11日

目录

第1章 简述 6

第2章 项目概述 8

2.1 项目目标 8

2.2 项目范围 8

2.3 主要内容 9

第3章 测试方案 10

3.1 测试方法 10

3.2 测试工具 10

3.3 测试流程 11

3.4 测试计划 12

3.5 风险应对措施 12

3.6 参考标准 13

第4章 测试结果 14

4.1 电子送达系统 14

4.1.1 存储型XSS跨站脚本（高某某） 14

4.1.2 存储型XSS跨站脚本（高某某） 17

4.1.3 存储型XSS跨站脚本（高某某） 20

4.1.4 存储型XSS跨站脚本（高某某） 23

4.1.5 密码明文传输（中危险） 27

4.1.6 信息泄露（低危险） 27

4.2 **_* 28

4.2.1 任意文件下载（高某某） 28

4.2.2 Tomcat配置不当导致泄露web部署路径（中危险） 30

4.2.3 SQL注入（高某某） 30

4.2.4 SQL注入（高某某） 32

4.2.5 SQL注入（高某某） 33

4.2.6 SQL注入（高某某） 35

4.2.7 泄露数据库敏感信息（高某某） 37

4.2.8 泄露一些系统服务敏感信息（高某某） 38

4.3 **_*调管理平台 38

4.3.1 密码明文传输（中危险） 38

4.3.2 跨站请求伪造CSRF（高某某） 39

4.3.3 信息泄露（低危险） 42

4.4 XX省高级人民法院舆情检测系统 43

4.4.1 任意文件下载（高某某） 43

4.5 量刑规范化辅助办案系统 45

4.5.1 登录失败提示设计缺陷（低危险） 45

4.5.2 密码明文传输（中危险） 46

4.5.3 登录功能设计缺陷，未使用验证码功能（中危险） 47

4.5.4 存储型XSS跨站脚本（高某某） 48

4.5.5 弱口令（高某某） 51

4.5.6 信息泄露（低危险） 52

4.6 人民法院执行案件流程信息管理系统 53

4.6.1 密码明文传输（中危险） 53

4.6.2 登录失败提示设计缺陷（低危险） 54

4.6.3 账号锁定机制设计缺陷（中危险） 55

4.6.4 使用tomcat默认管理后台（中危险） 55

4.6.5 登录功能设计缺陷，未使用验证码功能（中危险） 56

4.6.6 SQL注入（高某某） 57

4.6.7 tomcat Session操控漏洞（中危险） 58

4.6.8 信息泄露（低危险） 59

4.6.9 未授权访问（高某某） 60

4.7 **_* 61

4.7.1 SQL注入（高某某） 61

4.7.2 存储型XSS跨站脚本（高某某） 62

4.8 XX法院智慧审判系统 65

4.8.1 登录失败提示设计缺陷（低危险） 65

4.9 天涯法律 66

4.9.1 跨站请求伪造CSRF（高某某） 66

4.10 全省科技法庭综合管理系统 68

4.10.1 使用tomcat默认管理后台（中危险） 68

4.10.2 登录功能设计缺陷，未使用验证码功能（中危险） 69

4.10.3 报错泄露struct2框架信息（中危险） 70

4.10.4 Tomcat配置不当导致泄露web部署路径（中危险） 71

4.11 XX省法院内网门户系统 71

4.11.1 反射型XSS跨站脚本（低危险） 71

4.11.2 SQL注入（高某某） 74

4.12 廉政风险防控平台 75

4.12.1 存储型XSS跨站脚本（高某某） 75

4.13.2 登录失败提示设计缺陷（低危险） 78

4.13 XX省法院绩效考核管理系统 79

4.13.1 存储型XSS跨站脚本（高某某） 79

4.13.2 SQL注入（高某某） 82

4.14 执行司法查控系统 83

4.14.1 信息泄露（低危险） 83

4.15 裁判文书上网直报系统 84

4.15.1 登录失败提示设计缺陷（低危险） 84

4.15.2 SQL注入（高某某） 85

4.16 电子卷宗随案生成及深度利用 86

4.16.1 信息泄露（低危险） 86

第5章 总结及建议 88

5.1 安全管理方面 88

5.2 安全技术方面 88

5.3 安全开发方面 89

简述

经XX省高级人民法院授权，公安部第一研究所对XX省高级人民法院2019信息系统项目信息系统进行安全渗透测试。

测试过程中发现多处安全问题，建议及时进行修复。

渗透测试结果如下：

序号

系统名称

URL

高危漏洞

中危漏洞

低危漏洞

漏洞合计



1

量刑规范化辅助办案系统

http://148.0.88.90/trial

2

2

2

6



漏洞类型分别为SQL注入、弱口令、逻辑漏洞、信息泄露、任意文件下载、密码明文传输等。

项目概述

项目目标

通过本项目的成功实施，模拟黑客攻击实际的发生过程进行渗透测试，在坚持科学、客观、公正原则的基础上，全面、完整地了解当前XX省高级人民法院信息系统的安全状况，分析系统所面临的各种风险，模拟攻击者可能利用的漏洞，根据测试结果发现系统存在的安全问题，并对问题提出安全防护的建议。

本次测试预期达到的目标为：

发现授权渗透测试目标系统的安全漏洞

针对发现的漏洞提供安全防护建议

项目范围

本项目渗透测试的范围紧限制于某某**_*面形式进行授权的应用系统，具体的渗透测试范围如下：

测试时间

2019年11月2日



测试目标系统

量刑规范化辅助办案系统



主要内容

渗透测试范围内主机系统，包括WINDOWS和LINUX等操作系统本身进行渗透测试。

渗透测试范围内的主机上所承载的Oracle、MySQL、SQLServer等这一类数据库系统进行渗透测试。

渗透测试范围内的主机上所承载的各种应用，如ASP、CGI、JSP、PHP等组成的Web应用等服务进行渗透测试。

测试方案

渗透测试主要依据已经发现的安全漏洞，模拟黑客的攻击方法对系统和网络进行非破坏性质的攻击性测试，本次将作为评估重点对XX省高级人民法院重要应用系统进行全面的渗透测试，从而从深层次发现系统存在的安全问题。

测试方法

黑客的攻击入侵需要利用目标网络的安全弱点，渗透测试也是同样的道理。它模拟真正的黑客入侵攻击方法，以人工渗透为主，辅助以攻击工具的使用，这样保证了整个渗透测试过程都在可以控制和调整的范围之内。通过模拟黑客的攻击方法和手段，在保障应用系统稳定运行的前提下，最大限度的发现应用系统和网络存在的安全漏洞和安全风险，保障应用系统安全。

测试工具

拓扑分析工具：DNS Sweep、Nslookup等

自动化扫描工具：Nessus、AIScanner、AWVS、APPScan等

端口扫描、服务检测：Nmap、Masscan、SuperScan等

嗅探分析工具：Ethereal、Wireshark、Entercap、Dsniff等

Exploiting 利用工具：Metasploit Framework、Core Impact、Canvas等

应用缺陷分析工具：SQLMAP、Burpsuit等

其他公开及私有的WEB安全测试 内容过长，仅展示头部和尾部部分文字预览，全文请查看图片预览。 理仓库，如有必要上传至互联网上，应对敏感关键信息进行屏蔽，如API地址、IP地址、数据库密码等，防止信息泄露；应尽量避免修改厂商提供的软件包，如必须修改，应注意以下几点：

评估软件包内置的控制措施和完整性流程遭受破坏的风险；

应征得原厂商的同意，由原厂商提供标准的升级程序来实现软件包的更改。

在软件的原始采购、开发、使用和维护过程中，应采取如下防范控制措施：

仅从信誉卓著的厂商处购买软件；

尽量购买提供源代码的软件，以便进行检验，在投入使用之前检查所有源代码；

使用通过权威机构评估测试的软件产品；

一旦安装完毕，控制对源代码的访问和修改；

安装并正确使用有关后门、特洛伊代码的检测和查杀工具。

[文章尾部最后300字内容到此结束,中间部分内容请查看底下的图片预览]请点击下方选择您需要的文档下载。

1. 教育思想与理念齐更新，教学改革与创新共推进——2019年XX省中职学校英语教师专业能力提升培训
2. 最高人民检察院关于公诉案件撤回起诉若干问题的指导意见
3. 最高人民法院办公厅关于印发中国法院10大知识产权案件和50件典型知识产权案例的通知
4. 关于迎检国家三类城市语言文字工作评估和XX省普通话基本普及县域验收工作方案
5. 单位小客车增量指标证明文件
6. 0-.1.1 民法典及相关司法解释汇编(1)
7. 最高人民法院关于全面深化人民法院改革的意见--人民法院第四个五年改革纲要（-）
8. 《**_*场管理若干规定》、《**_*法》
9. 最高人民法院关于印发《管理人破产程序工作文书样式(试行)》的通知
10. 最高人民法院关于人民法院办理执行异议和复议案件若干问题的规定
11. XX市高级人民法院关于贯彻执行《规范民、商事审判庭案件管辖分工的规定(试行)》的通知_.07.21生
12. 行政复议行政诉讼复习参考题
13. 退休返聘人员工作中受伤后的索赔依据及标准
14. 教学课件--《不去这里玩》
15. ***-全国各地法院有关疫情的审判意见（目录版）（截至***）
16. 适用《中华人民共和国民法典》婚姻家庭编的解释(一)
17. 危险化学品生产储存企业安全风险评估诊断分级指南（试行）
18. 公司危险作业管理制度
19. 安全风险分级管控和隐患排查治理双重预防机制建设
20. 1法律常识判断练习题二附答案

以上为《XX省高级人民法院量刑规范化辅助办案系统渗透测试报告-智慧XX》的无排版文字预览，完整格式请下载

下载前请仔细阅读上面文字预览以及下方图片预览。图片预览是什么样的，下载的文档就是什么样的。