产品概述

Core  Impact是一个最详尽的访问与测试整个组织安全漏洞的解决方案。Core  Impact是一个使您能够重现来源于系统、设备及应用程序的攻击，并揭示可利用漏洞攻击链是如何打开通往关键任务系统及数据路径的解决方案。Core  Impact能够为新用户简化测试流程并且让高级用户有效地执行大多数的测试任务。相对于人工测试而言，它可以为用户节省大量的时间；同时还可以为用户的基础设施提供一个连续的、可重复的进程测试。Core  Impact拥有超过15年的安全研究和商业级的开发背景，能够让你使用当今网络所使用的相同技术来评估安全状况。

Core  Impact产品融合了Core  Security公司实时漏洞研究和风险评估技术，对企业敏感数据和关键架构进行一系列安全攻击，为企业进行深入的安全测试，从而更广泛了解数据泄露的原因、影响以及预防方案。

产品特点

识别和验证不同环境中的漏洞

Core  Impact可以模拟各种复杂的、以不同环境中安全漏洞为目标进行遍历的数据泄露攻击。Core  Impact产品可以帮助企业从攻击者的角度进行如下安全评估：

• 隐蔽的、低影响的方式扫描系统–模仿实际攻击的回避技巧

• 漏洞利用—利用网络系统、网络应用程序、客户端系统、无线网络、网络设备中的漏洞

• 获得管理权--通过特权升级方式破坏系统，获得管理访问权

• 揭露攻击危害--通过模拟攻击者行为访问并窃取或窜改被攻击系统

• 多个漏洞间连通—利用不同系统和架构层间的攻击路径，访问关键资产

• 丰富报表—报告包含重点漏洞、高风险系统和数据以及修复建议等可操作性数据

• 二次测试--确保补丁和其他修复建议的有效性

Core  Impact软件允许你在IT的不同层级进行安全评估

精确控制渗透测试或自动测试

Core  Impact用户包含从基层安全工程师到专业渗透测试人员。该产品提供了多种方法以适用不同类型用户的需求，包括：

• 快速渗透测试：测试过程的所有步骤都自动完成

• 手动测试：对特定攻击或其他模块进行编程，从而进行更准确的控制

• 一键测试：“设置并记录”的功能，即可自动按照设定进行网络，客户端和网站应用程序的测试

• 自动化，定期测试：进行一键重复测试

• 宏指令：自动化定制测试工作流程

•模块定制：所有模块都以Python书写，用户可自定义修改

• 模块的创建：IMPACT可以是客户写的Python漏洞或是将其它模块融合到测试过程中

支持扫描器漏洞验证

Core  Impact支持各类扫描器结果导入，并进行漏洞的验证和利用。支持的扫描类型包括：

•Qualys

•Eye Scanner

•Nessus

•GFI

•IBM Appscan

•HP Webinspect

•NCircle

•Lumension Security

•Rapid 7

•FoundStone

真正的商业级渗透测试解决方案

自2001以来，Core  Impact一直致力于当今最深层次的渗透测试能力的开发和更新。Core  Impact测试范围包括：

•网络应用、网络系统、各种终端、电子邮件用户、无线网络和网络设备

•团队由经验丰富的研究人员，漏洞挖掘人员和产品工程师组成

•经过密集的不间断的QA测试

•不断更新的漏洞（每月更新20 – 30个新漏洞）

•包含广泛的漏洞开发前和开发后的能力

•针对大部分操作系统，应用程序和各类服务

利用广泛和深层次的商业级渗透测试能力

产品服务

Core  Impact利用网络钓鱼、网页表单模仿、无线接入点、无线中间人攻击等真实的攻击形式帮助企业评估测试智能手机和其他移动设备的漏洞。

•验证和确认环境中移动设备所创建的重要数据泄露情况

•在部署之前进行新的移动技术的安全性评估

•获得可操作性的数据以降低企业财务、运营、和声誉风险

•访问和控制来电和文本日志，GPS数据，和来电情况

•保护用户远离诽谤，欺诈和勒索

网络设备渗透测试

网络路由器在防止对敏感系统的未访问中具有重要战略作用，因此也成为当今IT安全组织关注的重要领域。Core  Impact的网络设备渗透测试功能帮助企业识别、访问和重新配置路由器，模仿攻击者试图揭露其它网络或是其它不可探测的网络。

•扫描网络设备的IP范围，并收集制造商、型号、操作系统等识别信息

•通过配置检索、密码破解、访问列表穿孔和界面监测能力来攻击配置漏洞并验证访问

渗透测试

Core  Impact提供专业的的网络渗透测试功能。当增加或修改网络系统、发现新的漏洞，或是发现新的攻击技术等常见情况出现时，该功能都可以帮助企业简单有效地定期进行安全评估。

•通过网络发现、端口扫描器、操作系统和服务识别模块收集系统信息

•利用更新的商业级漏洞库确定关键的操作系统、服务和应用程序漏洞

•利用当的网络漏洞扫描器输入和验证漏洞结果-没有误报

•在发现漏洞后，通过模仿攻击者行为，演示数据泄露的危害

•利用受控系统攻击其他后端网络资源的多级攻击

•无需在受控系统中安装组件或做任何形式的改变，即可进行测试

•所产生的报告包含优先修复方案、安全性的改进措施以及合规性要求

web应用渗透测试

Core  Impact通过揭露数据泄露的地点和方式，以及揭露存在风险的信息资产的情况，帮助企业与开发商制定有效的修复措施，避免为新开发的和现有的应用程序更改不必要的代码。

Core  Impact可以测试web应用程序的如下漏洞：

•持续的跨站脚本（XSS）

•反射跨站脚本（包括静态HTML和Adobe Flash®）

•SQL注入

•SQL盲注

•PHP应用远程文件包含

•PHP应用远程和本地文件包含

•跨站伪造请求（GSRF）

•操作系统命令注入

•未经验证的重定向和转发

其它功能包括：绕过web应用防火墙、揭露HTTP弱密码、识别隐藏web页面、找到隐藏的网页文件查找敏感的robots.txt文件。

•识别网络应用，网络服务器以及相关数据库漏洞–没有误报

•识别由OWASP组织排名的网络应用风险

•动态识别损坏定制应用程序的安全漏洞

•利用当的网络漏洞扫描器输入和验证漏洞结果

•通过对后端资源进行复制本地攻击，演示成功攻击所产生的危害

•获得必要的可操作的数据，作为修复已知安全问题的开发资源

•确认应用代码修复的效果并确保他们不产生额外风险

无线网络渗透测试

Core  Impact无线渗透测试产品*集成了网络、web应用程序和客户端的测试功能，在测试过程可实现识别wifi网络风险、破解加密、跟踪原始无线漏洞节点和后端资源的攻击路径等，从而获取每一步的有效的风险修复信息。主要功能包括：

•发现公开和未的wifi，并确定网络的认证强度和安全协议

•攻击测试WEP、WPA、WPA2加密网络

•收集连接网络的系统信息以及SSID信息

•进行中间人攻击，拦截无线传输，并在中继流量中插入攻击代码

•模拟接入点连接信标系统并测试其防远程攻击能力

•无线测试活动和调查结果的全面分析报告

•从原始无线攻击到后续网络、web应用以及客户端攻击，进行无缝转换