許多客戶在網(wǎng)站，以及APP上線的同時(shí)，都會(huì)提前的對(duì)網(wǎng)站進(jìn)行全面的滲透測(cè)試以及安全檢測(cè)，提前檢測(cè)出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過(guò)程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時(shí)間有客戶找到我們SINE安全公司做滲透測(cè)試服務(wù)，在此我們將把對(duì)客戶的整個(gè)滲透測(cè)試過(guò)程以及安全測(cè)試，發(fā)現(xiàn)的漏洞都記錄下來(lái)，分享給大家，也希望大家更深地去了解滲透測(cè)試。
在對(duì)客戶的網(wǎng)站進(jìn)行服務(wù)的同時(shí)，我們首先要了解分析數(shù)據(jù)包以及網(wǎng)站的各項(xiàng)功能，有助于我們?cè)跐B透測(cè)試中發(fā)現(xiàn)漏洞，修復(fù)漏洞，綜合客戶網(wǎng)站的架構(gòu)，規(guī)模，以及數(shù)據(jù)庫(kù)類型，使用的服務(wù)器系統(tǒng)，是windows還是linux，前期都要收集信息，做到知彼知己百戰(zhàn)不殆。只有真正的了解了網(wǎng)站，才能一層一層地找出漏洞所在。網(wǎng)站使用的是php語(yǔ)言開(kāi)發(fā)，采用是mysql數(shù)據(jù)庫(kù)，客戶服務(wù)器用的是linux centos系統(tǒng)，用phpstudy一鍵環(huán)境搭建，PHP的版本是5.5，mysql數(shù)據(jù)庫(kù)版本是5.6.客戶網(wǎng)站是一個(gè)平臺(tái)，采用會(huì)員登錄，功能基本都是一些交互性的，會(huì)員資料，添加，與，在線反饋等等。

在對(duì)前端輸入過(guò)來(lái)的值進(jìn)行安全判斷，確認(rèn)變量值是否存在，如果存在將不會(huì)覆蓋，杜絕變量覆蓋導(dǎo)致?lián)饺霅阂鈽?gòu)造的sql注入語(yǔ)句代碼在GET請(qǐng)求，以及POST請(qǐng)求里，過(guò)濾非法字符的輸入。 '分號(hào)過(guò)濾 --過(guò)濾 %20字符過(guò)濾，單引號(hào)過(guò)濾，%百分號(hào)， and過(guò)濾，tab鍵值等的的安全過(guò)濾。如果對(duì)代碼不是太懂的話，也可以找網(wǎng)站安全公司來(lái)處理，國(guó)內(nèi)SINESAFE,啟明星辰，綠盟都是比較的。邏輯漏洞的修復(fù)辦法，對(duì)密碼找回功能頁(yè)面進(jìn)行安全校驗(yàn)，檢查所屬賬號(hào)的身份是否是當(dāng)前的，如果不是不能發(fā)送驗(yàn)證碼，其實(shí)就是代碼功能的邏輯設(shè)計(jì)出了問(wèn)題，邏輯理順清楚了，就很容易的修復(fù)漏洞，也希望我們SINE安全分享的這次滲透測(cè)試過(guò)程能讓更多的人了解滲透測(cè)試，安全防患于未然。

啟動(dòng)一個(gè)新是一個(gè)令人興奮的項(xiàng)目，充滿了許多重要的步驟和決定。但是，作為的所有者，您不僅要處理被入侵的后果，還要對(duì)其頁(yè)面上的內(nèi)容以及人們用來(lái)與之交互的機(jī)制負(fù)責(zé)。如果您計(jì)劃存儲(chǔ)用戶信息（例如密碼或電話號(hào)碼），則必須妥善保護(hù)這些數(shù)據(jù)，否則根據(jù)某些法律，您可能會(huì)因數(shù)據(jù)泄露事件而受到罰款。
選擇可靠的主機(jī)服務(wù)商
在互聯(lián)網(wǎng)發(fā)展的早期，個(gè)人和公司將在本地化的數(shù)據(jù)中心或辦公室中獲取和維護(hù)自己的服務(wù)器，而云計(jì)算從根本上轉(zhuǎn)變了這種模式，大多數(shù)的現(xiàn)在都是通過(guò)第三方提供商托管。云計(jì)算降低了所有者的管理成本和責(zé)任，也帶來(lái)了一些安全問(wèn)題。如提供商遭受數(shù)據(jù)泄露或整個(gè)數(shù)據(jù)中心出現(xiàn)故障，您的可能會(huì)丟失重要信息，因此，選擇一個(gè)可靠的主機(jī)服務(wù)商至關(guān)重要。

中小企業(yè)，為什么受傷的總是我？
然而，雖然云存在有這樣那樣的問(wèn)題，但企業(yè)上云已經(jīng)成為眾多企業(yè)用戶的共識(shí)，也是未來(lái)發(fā)展的必然趨勢(shì)，越來(lái)越多的行業(yè)客戶也已經(jīng)開(kāi)始從傳統(tǒng) IDC 遷移上云。雖然目前絕大部分客戶都是將自有企業(yè)及業(yè)務(wù)系統(tǒng)等較輕量的架構(gòu)上云，但從 CSDN 新出爐的《2017 中國(guó)軟件開(kāi)發(fā)者》中，安全仍然是大多數(shù)企業(yè)在上云時(shí)面臨的頭號(hào)問(wèn)題。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://coolerbeats.net