检测项目

输入验证漏洞：

• 缓冲区溢出：内存地址偏移量（偏移值≥64字节，参照CWE-121）、输入长度限制（最大长度≤1024字符）
• SQL注入：注入点检测（过滤无效字符，参照OWASPA1）、参数化查询缺失（参数化率≥95%）
• 跨站脚本（XSS）：脚本执行点（输出编码缺失，参照CWE-79）、DOM操作漏洞（事件处理函数未验证）

• 弱密码策略：密码复杂度（长度≥8字符，含大小写/数字）、尝试次数限制（最大尝试≤5次）
• 会话固定：会话ID熵值（熵值≥64位）、超时机制缺失（超时时间≤30分钟）
• 多因素认证缺失：认证因子数量（因子数≥2，参照NISTSP800-63B）

• 权限提升：角色权限偏差（权限级别差≥2级）、对象引用暴露（ID未加密）
• 水平越权：用户数据隔离缺失（隔离率≥99%）、API端点授权失效

• 弱加密算法：密钥长度（AES密钥≥256位，参照FIPS140-2）、哈希函数强度（SHA-256及以上）
• 密钥管理不当：密钥存储位置（硬件安全模块使用）、轮换周期（周期≤90天）

• 信息泄露：错误消息详情（敏感信息屏蔽率≥100%）、堆栈跟踪暴露（跟踪深度=0）
• 异常处理缺失：异常捕获覆盖率（覆盖率≥95%）

• 默认配置风险：默认账户禁用（禁用率=100%）、未打补丁组件（补丁安装延迟≤7天）
• 环境配置错误：调试模式启用（启用状态=禁用）、文件权限设置（权限位≤644）

• 端点注入：输入验证缺失（验证覆盖率≥98%）、速率限制缺失（请求限速≤100次/秒）
• 数据序列化漏洞：反序列化点检测（类型检查缺失，参照CWE-502）、JSON/XML注入点

• 第三方库漏洞：CVE匹配率（匹配准确率≥99%）、供应链攻击面（依赖项数量≤50）
• 开源组件风险：许可证合规性（高危许可证数量=0）、版本漏洞扫描（扫描频率≥每周）

• 命令注入：系统调用点（过滤无效命令，参照CWE-78）、参数白名单缺失（白名单覆盖率≥90%）
• LDAP注入：查询构造点（转义字符处理缺失）

• 审计缺失：日志事件覆盖率（覆盖率≥95%）、监控告警缺失（告警响应时间≤5分钟）
• 日志篡改风险：日志完整性校验（哈希校验启用）、存储加密（加密强度≥AES-256）

检测范围

1.Web应用：涵盖前端JavaScript及后端服务，重点检测输入验证漏洞如XSS、SQL注入及会话管理缺陷，确保表单输入过滤和API端点安全。

2.移动应用：针对iOS/Android平台应用，侧重数据存储加密、权限滥用及反编译风险，检测本地文件处理与网络通信漏洞。

3.操作系统：包括Windows/Linux内核，重点检测权限提升漏洞、内存管理缺陷及驱动交互风险，评估系统调用安全。

4.数据库软件：涉及SQL/NoSQL数据库，侧重查询注入、访问控制缺失及配置错误，确保数据隔离和审计日志完整性。

5.嵌入式软件：覆盖IoT设备固件，重点检测无线协议安全、物理访问控制及固件更新机制漏洞，评估硬件交互风险。

6.云服务：针对SaaS/PaaS/IaaS模型，侧重多租户隔离失效、配置管理错误及API端点暴露，检测存储桶权限和网络分段。

7.物联网设备：包括智能家居及工业控制器，重点检测传感器数据篡改、无线通信加密缺失及默认凭证风险，评估OTA更新安全。

8.桌面应用：涵盖办公及工具软件，侧重内存溢出、文件处理漏洞及自动更新机制，检测安装包签名和依赖管理。

9.网络设备：针对路由器/交换机，重点检测协议漏洞如TCP/IP栈缺陷、远程管理接口暴露及固件后门，评估访问控制列表。

10.API服务：包括REST/gRPC接口，侧重端点注入、认证失效及速率限制缺失，检测序列化风险和错误响应泄露。

检测方法

国际标准：

• OWASPTop10-2021应用安全风险清单（覆盖注入、失效认证等）
• CWE-2023常见弱点枚举（定义漏洞类型如缓冲区溢出）
• ISO/IEC27034-2023应用安全指南（规范安全开发生命周期）
• NISTSP800-115技术渗透测试指南（指导动态评估方法）

• GB/T30276-2020信息安全技术网络漏洞分类（映射CWE至本地标准）
• GB/T36627-2018信息安全技术网络安全等级保护要求（规定访问控制及审计）

检测设备

1.静态代码分析工具：FortifySCA（扫描速度≥1000行/秒，支持语言覆盖Java/C++）

2.动态应用扫描工具：Acunetix（爬行深度≥5层，检测准确率≥98%）

3.模糊测试工具：AFL（变异覆盖率≥90%，支持文件格式模糊）

4.渗透测试工具：Metasploit（漏洞利用模块数≥2000，支持自定义脚本）

5.网络扫描器：Nessus（漏洞库条目≥50000，扫描并发数≥100）

6.二进制分析工具：IDAPro（反编译速度≥50KB/秒，支持x86/ARM架构）

7.API安全测试工具：Postman（请求生成速率≥100次/秒，支持OAuth验证）

8.移动应用扫描器：MobSF（APK分析时间≤2分钟，检测权限滥用）

9.依赖扫描工具：OWASPDependency-Check（CVE匹配延迟≤1秒，扫描频率可调）

10.日志分析器：ELKStack（日志处理量≥10TB/天，支持实时告警）

11.内存调试器：WinDbg（内存转储分析时间≤5分钟，支持内核调试）

12.加密分析工具：OpenSSL（密钥强度测试覆盖RSA/AES，速度≥100操作/秒）

13.配置审计工具：CIS-CAT（配置项检查数≥1000，基准符合率计算）

14.固件分析工具：Binwalk（固件提取时间≤30秒，支持多种格式）

15.云安全扫描器：ScoutSuite（云资源配置扫描覆盖AWS/Azure，检测延迟≤10分钟）

北京中科光析科学技术研究所【简称：中析研究所】

报告：可出具第三方检测报告(电子版/纸质版)。

检测周期：7~15工作日，可加急。

资质：旗下实验室可出具CMA/CNAS资质报告。

标准测试：严格按国标/行标/企标/国际标准检测。

非标测试：支持定制化试验方案。

售后：报告终身可查，工程师1v1服务。