許多客戶在網站，以及APP上線的同時，都會提前的對網站進行全面的滲透測試以及安全檢測，提前檢測出存在的網站漏洞，以免后期網站發(fā)展過程中出現重大的經濟損失，前段時間有客戶找到我們SINE安全公司做滲透測試服務，在此我們將把對客戶的整個滲透測試過程以及安全測試，發(fā)現的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測試。
修改后臺初始密碼
每個都有一個后臺賬戶，用于日常的維護更新，而很多后臺初始密碼都過于簡單，在拿到后臺管理賬號密碼時，要先把初始密碼修改掉，帳號密碼要有一定的復雜度，不要使用域名、年份、姓名、純數字等元素，要知道密碼越好記也就意味著越容易被攻破。

假如你是hack，準備攻擊一家企業(yè)，那么首先要做的件事就是識別盡可能多的API。我首先按常規(guī)方式使用目標應用程序，在瀏覽器中打開Web應用程序或者在手機端安裝移動應用程序，然后使用代理監(jiān)視通信。代理能夠捕獲瀏覽器或移動應用程序對后端Web服務器發(fā)出的所有請求，從而使攻擊者可以對所有可用的API端點進行分類。例如，大多數API都將API/V1/login作為身份驗證端點。
如果目標也是移動應用程序，則將應用程序包拆開，并查看應用程序內部可用的API調用。考慮到所有可能的活動，攻擊者可以搜索無確保護用戶數據的常見配置錯誤或API。后，攻擊者尋找API文檔。一些組織為第三方發(fā)布API文檔，但為所有用戶使用相同的API端點。有了一個不錯的端點清單，攻擊者就可以測試標準用戶行為和異常行為測試，可以通過兩種方法找到有趣的漏洞。

近年來，各類頻繁遭受攻擊致使網絡癱瘓、內容被篡改，商業(yè)機密和用戶隱私被取，使經營者和用戶都損失慘重。電商和服務一直是網絡攻擊的重災區(qū)，京東、當當網都曾遭受過攻擊，造成直接經濟損失。
為什么愛找你的麻煩？
試想當你的客戶訪問你的出現這樣的情況，不僅浪費優(yōu)化推廣費用和人力成本，還有可能對你的企業(yè)口碑以及造成惡劣的影響！再被一次次打擊的情況下，我們不禁要問：為什么愛找你的麻煩？
程序本身存在漏洞
很多企業(yè)的是在網上下載的開源代碼，或隨便找網建公司開發(fā)的，程序本身就存在漏洞風險。試想一下，你花請幾百或幾千元做的東西，兩天就出來了。是菜場買白菜嗎？安全能提高到哪里去？
解決方案：發(fā)現問題查找問題原因，組織技術團隊進行排查分析。

下面開始我們的整個滲透測試過程，首先客戶授權我們進行網站安全測試，我們才能放開手的去干，首先檢測的是網站是否存在SQL注入漏洞，我們SINE安全在檢測網站是否有sql注入的時候都會配合查看mysql數據庫的日志來查詢我們提交的SQL語句是否成功的執(zhí)行，那么很多人會問該如何開啟數據庫的日志，如何查看呢？首先連接linux服務器的SSH端口，利用root的賬號密碼進服務器，打開mysql的配置文件mysqld.cnf編輯general_log_file=（log日志的），general_log=1，在服務器里輸入tail -f （log），來查看實時的數據庫語句執(zhí)行日志。當我們SINE安全技術在測試SQL注入漏洞的時候，就會實時的看到是否有惡意的SQL語句執(zhí)行成功，如果有那么數據庫日志就會出現錯誤提示，在滲透測試中是很方便的，也更利于查找漏洞。
SINE安全網站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。
http://www.xh798.com