dkeeno/web-app-pentest-altoromutual
GitHub: dkeeno/web-app-pentest-altoromutual
该项目是对 AltoroMutual 公开示例银行进行的规范化的 Web 应用程序渗透测试，涵盖漏洞发现、利用报告、修复建议及蓝队 Sigma 检测规则。
Stars: 0 | Forks: 0
# Web 应用程序渗透测试 — AltoroMutual (demo.testfire.net)
-orange)
一次针对 **AltoroMutual** (`demo.testfire.net`)（HCL/IBM 的公开、 intentionally-vulnerable 示例银行应用程序）的**适度**Web 应用程序渗透测试。流程包括：侦察 → 利用已记录漏洞 → 包含修复方案**及蓝队检测规则**的专业报告。
## 什么是 AltoroMutual？
[AltoroMutual](https://demo.testfire.net) 是由 HCL（前身为 IBM）AppScan 发布的一个故意存在安全缺陷的示例银行应用程序，旨在作为 Web 安全测试的公开目标。它包含经典的 OWASP Top 10 漏洞 —— 如 SQL 注入、XSS、配置不当 —— 并被官方授权用于安全评估。
## 测试概览
| | |
|---|---|
| **目标** | `demo.testfire.net` (AltoroMutual 示例银行) |
| **类型** | 黑盒 Web 应用程序渗透测试 |
| **范围** | 单个授权主机；**适度、非破坏性** |
| **授权** | 厂商提供的公开测试站点 |
| **执行** | 范围受限 + 记录至防篡改审计日志 |
| **交付成果** | 利用过程 + 建议 PDF · 单项漏洞报告 · 检测规则 |
## 漏洞发现
| # | 严重程度 | CVSS | 漏洞发现 | OWASP | 报告 |
|---|---|---|---|---|---|
| 1 | 🔴 严重 | 9.8 | **SQL 注入身份验证绕过** (`/doLogin`) | A07/A03 | [01](./findings/01-sqli-login-authbypass.md) |
| 2 | 🟠 高危 | 6.1 | **反射型 XSS** (`/search.jsp?query=`) | A03 | [02](./findings/02-reflected-xss-search.md) |
| 3 | 🟡 低危 | 3.7 | 缺失安全响应头 (CSP/HSTS/…) | A05 | [03](./findings/03-missing-security-headers.md) |
| 4 | 🟡 低危 | 5.3 | 版本信息泄露 + HTTP 明文传输 | A02/A05 | [04](./findings/04-info-disclosure-transport.md) |
**MITRE ATT&CK:** T1190 (Exploit Public-Facing Application), T1059.007 (JavaScript)。
## 仓库内容
```
.
├── README.md
├── reports/ # exploitation + recommendations PDFs
├── findings/ # per-vulnerability write-ups (root cause, CVSS, mappings, fix, detection)
├── evidence/ # sanitized proof-of-concept captures (no data exfiltrated)
└── detections/ # blue-team Sigma rules + WAF guidance
```
- 📄 **[利用报告 (PDF)](./reports/AltoroMutual_Exploitation-Report.pdf)**
- 📄 **[修复建议 (PDF)](./reports/AltoroMutual_Recommendations.pdf)**
## 蓝队检测
[`detections/`](./detections) 提供了 Sigma 规则 + WAF 指导，用于捕获 SQL 注入身份验证绕过和反射型 XSS —— 将评估转化为防御价值，且无需进行进一步主动测试。
## 关键修复建议
1. 对身份验证使用**参数化查询** (消除 SQL 注入)。
2. 实施**输出编码 + 严格的 CSP** (中和 XSS)。
3. 全站强制启用 HTTPS/TLS 并添加缺失的安全响应头。
4. 隐藏版本信息；修补/替换已停止维护 (EOL) 的组件。
## 展示技能
- 在第三方主机上进行具有**严格、道德范围限制**的黑盒 Web 应用程序测试
- 符合 OWASP/CWE/WSTG/ATT&CK 标准的分析、CVSS 评分和清晰的报告
- 配套的**蓝队检测工程**
## 法律与道德声明
本次测试是针对**厂商授权**的公开测试站点进行的，方式适度且非破坏性。**绝不**要对您不拥有或未获得明确授权的系统进行测试。
标签：CISA项目, Web安全, 安全报告, 蓝队分析, 蓝队检测, 防御加固