小白如何获得CNVD证书 - 技术分享 - 五行资源分享网

小白如何获得CNVD证书

作者头像图片

作者: 五行

网络资源搬砖的爱好者

文章二维码手机扫码查看

标签:

这篇文章木有标签

特别声明:文章多为网络转载,资源使用一般不提供任何帮助,如有侵权请联系!

CNVD证书获取条件  

事件型: 事件型漏洞必须是三大运营商(移动、联通、电信)的中高危漏洞,或者党政机关、重要行业单位、科研院所、重要企事业单位(如:中央国有大型企业、部委直属事业单位等)的高危事件型漏洞才会颁发原创漏洞证书  

时限要求:事件型漏洞验证不超过1个工作日,通报到涉事单位时间不超过3个工作日 

  

通用型: 对于中危及中危以上通用型漏洞(CVSS2.0基准评分超过4.0分),以及涉及党政机关、重要行业单位、科研院所、重要企事业单位(如:中央国有大型企业、部委直属事业单位等)的高危事件型漏洞(后续对事件型漏洞证明颁发标准将参考中央网信办颁布的关键基础设施相关定义和分类),CNVD将给予原创漏洞证明(即CNVD漏洞证书,电子版),该证明可通过编号在CNVD官方网站进行查询跟踪  

时限要求:通用型漏洞验证取决于复现条件,通报到厂商时间不超过5个工作日。对于处置周期,视处置难度和修复情况而定 时限要求:按周对上一周归档漏洞且满足证书颁发条件的进行批量制作。附:图1

案例探测   

利用空间测绘,这里以FoFa为例,我们可以搜索一些常见的系统可能使用的名称,比如说"管理系统"、"登录系统"、"Login"等等。附:图2   

这里发现一处后台界面登录点:附:图3   

找到系统之后,看看归属于哪个公司,判断其归属于哪个公司,然后去爱企查或者天眼查等查企业信息等网址对归属公司进行一个简单的搜索,查看其注册资产是否5000w+!!! 注册资产超过5000万,这套系统就满足发放证书的基本条件了,我们就可以进行一些简单的测试,假如没超过5000万,我们就不用进行测试了,因为即使测试到可利用点也无法获取相关证书。附:图4   

 通过查看注册资产发现超过5000w即可进行下一步,有了目标以后,我们可以使用隐藏目录FUZZ,在源代码中、js文件中查看一些后台的url,还可以通过修改请求的状态码如把0改为1,False改为True等等。附:图5   

这里尝试目录扫描(目录扫描的工具很多就不一一介绍了),对隐藏目录进行浏览,发现某目录下让设置一个xxid数,所以猜测可能存在SQL注入。附:图6   

添加上id数后,放入Sqlmap中小小的跑一下发现确实存在sql注入,点到为止,空间测绘查询相关关键字,收集一波站点。只要案例满足10例就可   

 

教程所用相关网站及工具  

资产收集:fofa  

目录扫描:dirsearch  

注入检测:sqlmap 

漏洞报送:cnvd(国家信息安全漏洞共享平台) 结尾附上成果图

 

 

 

分享到:
打赏
未经允许不得转载:

作者: 五行, 转载或复制请以 超链接形式 并注明出处 五行资源分享网
原文地址: 《小白如何获得CNVD证书》 发布于2023-9-29 14:09
帖子声明: 本站对文章进行整理、排版、编辑,是出于传递信息之目的, 并不意味着赞同其观点或证实其内容的真实性,不拥有所有权,不承担相关法律责任。

评论

在线链接输入图片 打卡按钮图片 私密评论按钮图片 10 + 51 =
乱评论、多次评论者一律禁言帐号或封禁IP
本站已经全面开启缓存,评论查看隐藏内容需等待1分钟后再刷新本页!

 

觉得文章有用就打赏一下文章作者

微信扫一扫打赏

打赏图片