雖然現(xiàn)在的網(wǎng)站安全防護技術已經(jīng)得到了很大的提升，但是相應地，一些網(wǎng)站入侵技術也會不斷地升級、進化。如何建設網(wǎng)站，因此，企業(yè)在進行網(wǎng)站建設管理的時候，一定不可以輕視網(wǎng)站安全這一塊，建議企業(yè)周期性、長期性地用一些基本方法來檢測企業(yè)網(wǎng)站的安全性，確保網(wǎng)站順利、正常地運營下去。
假如你是hack，準備攻擊一家企業(yè)，那么首先要做的件事就是識別盡可能多的API。我首先按常規(guī)方式使用目標應用程序，在瀏覽器中打開Web應用程序或者在手機端安裝移動應用程序，然后使用代理監(jiān)視通信。代理能夠捕獲瀏覽器或移動應用程序對后端Web服務器發(fā)出的所有請求，從而使攻擊者可以對所有可用的API端點進行分類。例如，大多數(shù)API都將API/V1/login作為身份驗證端點。
如果目標也是移動應用程序，則將應用程序包拆開，并查看應用程序內(nèi)部可用的API調用?？紤]到所有可能的活動，攻擊者可以搜索無確保護用戶數(shù)據(jù)的常見配置錯誤或API。后，攻擊者尋找API文檔。一些組織為第三方發(fā)布API文檔，但為所有用戶使用相同的API端點。有了一個不錯的端點清單，攻擊者就可以測試標準用戶行為和異常行為測試，可以通過兩種方法找到有趣的漏洞。

近年來，各類頻繁遭受攻擊致使網(wǎng)絡癱瘓、內(nèi)容被篡改，商業(yè)機密和用戶隱私被取，使經(jīng)營者和用戶都損失慘重。電商和服務一直是網(wǎng)絡攻擊的重災區(qū)，京東、當當網(wǎng)都曾遭受過攻擊，造成直接經(jīng)濟損失。
為什么愛找你的麻煩？
試想當你的客戶訪問你的出現(xiàn)這樣的情況，不僅浪費優(yōu)化推廣費用和人力成本，還有可能對你的企業(yè)口碑以及造成惡劣的影響！再被一次次打擊的情況下，我們不禁要問：為什么愛找你的麻煩？
程序本身存在漏洞
很多企業(yè)的是在網(wǎng)上下載的開源代碼，或隨便找網(wǎng)建公司開發(fā)的，程序本身就存在漏洞風險。試想一下，你花請幾百或幾千元做的東西，兩天就出來了。是菜場買白菜嗎？安全能提高到哪里去？
解決方案：發(fā)現(xiàn)問題查找問題原因，組織技術團隊進行排查分析。

啟動一個新是一個令人興奮的項目，充滿了許多重要的步驟和決定。但是，作為的所有者，您不僅要處理被入侵的后果，還要對其頁面上的內(nèi)容以及人們用來與之交互的機制負責。如果您計劃存儲用戶信息（例如密碼或電話號碼），則必須妥善保護這些數(shù)據(jù)，否則根據(jù)某些法律，您可能會因數(shù)據(jù)泄露事件而受到罰款。
選擇可靠的主機服務商
在互聯(lián)網(wǎng)發(fā)展的早期，個人和公司將在本地化的數(shù)據(jù)中心或辦公室中獲取和維護自己的服務器，而云計算從根本上轉變了這種模式，大多數(shù)的現(xiàn)在都是通過第三方提供商托管。云計算降低了所有者的管理成本和責任，也帶來了一些安全問題。如提供商遭受數(shù)據(jù)泄露或整個數(shù)據(jù)中心出現(xiàn)故障，您的可能會丟失重要信息，因此，選擇一個可靠的主機服務商至關重要。

接下來還得檢測網(wǎng)站的各項功能以及APP功能是否存在邏輯漏洞，越權漏洞，水平垂直等等，我們SINE安全技術詳細的對每一個功能都測試很多遍，一次，兩次，多次的反復進行，在用戶重置密碼功能這里發(fā)現(xiàn)有漏洞，正常功能代碼設計是這樣的流程，首先會判斷用戶的賬號是否存在，以及下一步用戶的是否與數(shù)據(jù)庫里的一致，這里簡單地做了一下安全校驗，但是在獲取驗證碼的時候并沒有做安全校驗，導致可以post數(shù)據(jù)包，將為任意來獲取驗證碼，利用驗證碼來重置密碼。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。
http://coolerbeats.net