許多客戶在網(wǎng)站，以及APP上線的同時，都會提前的對網(wǎng)站進(jìn)行全面的滲透測試以及安全檢測，提前檢測出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時間有客戶找到我們SINE安全公司做滲透測試服務(wù)，在此我們將把對客戶的整個滲透測試過程以及安全測試，發(fā)現(xiàn)的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測試。
我們SINE安全在進(jìn)行Web滲透測試中網(wǎng)站漏洞利用率的前五個漏洞。常見漏洞包括注入漏洞、文件上傳漏洞、文件包含漏洞、命令執(zhí)行漏洞、代碼執(zhí)行漏洞、跨站點腳本(XSS)漏洞、SSRF漏洞、XML外部實體(XXE)漏洞、反序列化漏洞、解析漏洞等。，因為這些安全漏洞可能被利用，從而影響業(yè)務(wù)。以下每一條路線都是一種安全風(fēng)險。可以通過一系列的攻擊手段發(fā)現(xiàn)目標(biāo)的安全弱點。如果安全漏洞被成功利用，目標(biāo)將被控制，威脅目標(biāo)資產(chǎn)或正常功能的使用，終導(dǎo)致業(yè)務(wù)受到影響。

接下來還得檢測網(wǎng)站的各項功能以及APP功能是否存在邏輯漏洞，越權(quán)漏洞，水平垂直等等，我們SINE安全技術(shù)詳細(xì)的對每一個功能都測試很多遍，一次，兩次，多次的反復(fù)進(jìn)行，在用戶重置密碼功能這里發(fā)現(xiàn)有漏洞，正常功能代碼設(shè)計是這樣的流程，首先會判斷用戶的賬號是否存在，以及下一步用戶的是否與數(shù)據(jù)庫里的一致，這里簡單地做了一下安全校驗，但是在獲取驗證碼的時候并沒有做安全校驗，導(dǎo)致可以post數(shù)據(jù)包，將為任意來獲取驗證碼，利用驗證碼來重置密碼。

文件包含漏洞。文件包含函數(shù)中包含的文件參數(shù)沒有過濾或嚴(yán)格定義，參數(shù)可以由用戶控制，可能包含意外文件。如果文件中存在惡意代碼，無論文件是什么后綴類型，文件中的惡意代碼都會被解析執(zhí)行，導(dǎo)致文件包含漏洞。文件中包含的漏洞可能會造成網(wǎng)頁修改、網(wǎng)站暫停、服務(wù)器遠(yuǎn)程控制、后門安裝等危害。

攻擊產(chǎn)業(yè)鏈成熟，攻擊成本極低
目前黑產(chǎn)產(chǎn)業(yè)愈發(fā)成熟，發(fā)起一次網(wǎng)絡(luò)攻擊或入侵的代價變得非常低廉，如果你在網(wǎng)上搜一搜，就會發(fā)現(xiàn)，僅需花費數(shù)十元，便可以購買 50M 的日攻擊服務(wù)。如果包月，費用更低，即花費 500 元就可以攻擊一個中小企業(yè)長達(dá)一個月。這樣一來，企業(yè)將面臨的不但是要在應(yīng)用架構(gòu)上花重金配置的安全防護(hù)類產(chǎn)品，還需要在安全防護(hù)方面投入運維人力，中小企業(yè)根本無力承擔(dān)，安全成為中小企業(yè)無法承受之重。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對各項功能都進(jìn)行了全面的安全檢測。
http://coolerbeats.net