許多客戶在網(wǎng)站，以及APP上線的同時(shí)，都會(huì)提前的對(duì)網(wǎng)站進(jìn)行全面的滲透測(cè)試以及安全檢測(cè)，提前檢測(cè)出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時(shí)間有客戶找到我們SINE安全公司做滲透測(cè)試服務(wù)，在此我們將把對(duì)客戶的整個(gè)滲透測(cè)試過程以及安全測(cè)試，發(fā)現(xiàn)的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測(cè)試。
在之前的一系列文章中，我們主要講了內(nèi)網(wǎng)滲透的一些知識(shí)，而在現(xiàn)實(shí)中，要進(jìn)行內(nèi)網(wǎng)滲透，一個(gè)很重要的前提便是：你得能進(jìn)入內(nèi)網(wǎng)啊！所以，從這篇文章開始，我們將開啟Web滲透的學(xué)習(xí)（內(nèi)網(wǎng)滲透系列還會(huì)繼續(xù)長期更新哦）。滲透測(cè)試，是滲透測(cè)試完全模擬hack可能使用的攻擊技術(shù)和漏洞發(fā)現(xiàn)技術(shù)，對(duì)目標(biāo)網(wǎng)絡(luò)、主機(jī)、應(yīng)用的安全作深入的探測(cè)，幫助企業(yè)挖掘出正常業(yè)務(wù)流程中的安全缺陷和漏洞，助力企業(yè)先于hack發(fā)現(xiàn)安全風(fēng)險(xiǎn)，防患于未然。
Web應(yīng)用的滲透測(cè)試流程主要分為3個(gè)階段，分別是：信息收集→漏洞發(fā)現(xiàn)→漏洞利用。本文我們將對(duì)信息收集這一環(huán)節(jié)做一個(gè)基本的講解。信息收集介紹進(jìn)行web滲透測(cè)試之前，重要的一步那就是就是信息收集了，俗話說“滲透的本質(zhì)也就是信息收集”，信息收集的深度，直接關(guān)系到滲透測(cè)試的成敗。打好信息收集這一基礎(chǔ)可以讓測(cè)試者選擇合適和準(zhǔn)確的滲透測(cè)試攻擊方式，縮短滲透測(cè)試的時(shí)間。一般來說收集的信息越多越好，通常包括以下幾個(gè)部分：

以盜幣為主要目的的攻擊并非個(gè)例，隨著以為代表的數(shù)字的盛行，世界各地的交易中心成為了攻擊的一個(gè)新目標(biāo)，頻頻爆出遭遇的攻擊，用戶賬戶被盜、用戶數(shù)據(jù)泄露、損失慘重等事件。

近，攻擊者接管賬戶的嘗試在不斷增加。錯(cuò)誤消息過于“詳細(xì)周到”，往往使此類攻擊更加容易。冗長的錯(cuò)誤消息會(huì)引導(dǎo)攻擊者了解他們需要進(jìn)行哪些更改才能偽裝成合法請(qǐng)求。API專為低負(fù)載下的高速交易而設(shè)計(jì)，使攻擊者可以使用高性能系統(tǒng)找出有效賬戶，然后嘗試登錄并更改密碼進(jìn)行利用。解決方法：不要拿用戶體驗(yàn)作為擋牌，有些看起來有利于用戶體驗(yàn)的做法，未必有利于安全性。系統(tǒng)返回的錯(cuò)誤信息不應(yīng)該包括錯(cuò)誤的用戶名或錯(cuò)誤的密碼，甚至不能包含錯(cuò)誤信息的類別（用戶名還是密碼錯(cuò)誤）。用于查詢數(shù)據(jù)的錯(cuò)誤消息也是如此，如果查詢/搜索格式不正確或由于某種原因而無法執(zhí)行，則應(yīng)該返回“沒有營養(yǎng)”的錯(cuò)誤信息：“糟糕，哪里出錯(cuò)了”。

修改后臺(tái)初始密碼
每個(gè)都有一個(gè)后臺(tái)賬戶，用于日常的維護(hù)更新，而很多后臺(tái)初始密碼都過于簡(jiǎn)單，在拿到后臺(tái)管理賬號(hào)密碼時(shí)，要先把初始密碼修改掉，帳號(hào)密碼要有一定的復(fù)雜度，不要使用域名、年份、姓名、純數(shù)字等元素，要知道密碼越好記也就意味著越容易被攻破。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.xh798.com