許多客戶(hù)在網(wǎng)站，以及APP上線的同時(shí)，都會(huì)提前的對(duì)網(wǎng)站進(jìn)行全面的滲透測(cè)試以及安全檢測(cè)，提前檢測(cè)出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過(guò)程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時(shí)間有客戶(hù)找到我們SINE安全公司做滲透測(cè)試服務(wù)，在此我們將把對(duì)客戶(hù)的整個(gè)滲透測(cè)試過(guò)程以及安全測(cè)試，發(fā)現(xiàn)的漏洞都記錄下來(lái)，分享給大家，也希望大家更深地去了解滲透測(cè)試。
命令執(zhí)行的漏洞。應(yīng)用程序的某些函數(shù)需要調(diào)用可以執(zhí)行系統(tǒng)命令的函數(shù)。如果這些功能或者功能的參數(shù)可以被用戶(hù)控制，那么惡意的命令就有可能通過(guò)命令連接器拼接成正常的功能，從而可以隨意執(zhí)行系統(tǒng)命令。這就是命令執(zhí)行漏洞，這是高風(fēng)險(xiǎn)漏洞之一。

當(dāng)攻擊者通過(guò)API調(diào)用遍歷攻擊系統(tǒng)時(shí)，他們必須弄清楚可以發(fā)送些什么來(lái)獲取數(shù)據(jù)。攻擊者“信奉”這樣的一個(gè)事實(shí)：即越復(fù)雜的系統(tǒng)，出錯(cuò)的地方越多。攻擊者識(shí)別出API后，他們將對(duì)參數(shù)進(jìn)行分類(lèi)，然后嘗試訪問(wèn)管理員（垂直特權(quán)升級(jí)）或另一個(gè)用戶(hù)（水平特權(quán)升級(jí)）的數(shù)據(jù)以收集其他數(shù)據(jù)。通常，太多不必要的參數(shù)被暴露給了用戶(hù)。
在近的研究項(xiàng)目中，我們對(duì)目標(biāo)服務(wù)的API調(diào)用返回了大量數(shù)據(jù)，很多都是不必要的數(shù)據(jù)信息，例如付款網(wǎng)關(guān)的處理器密鑰和可用的折扣信息等。這些“獎(jiǎng)勵(lì)信息”使攻擊者可以更好地理解這些API調(diào)用的上下文和語(yǔ)法。攻擊者不需要太多的想象力就能弄清楚下一步該怎么做。這些額外的參數(shù)為攻擊者提供了豐富的攻擊數(shù)據(jù)集。解決方法：如果將用戶(hù)看到的內(nèi)容范圍限制為必需內(nèi)容，限制關(guān)鍵數(shù)據(jù)的傳輸，并使數(shù)據(jù)查詢(xún)結(jié)構(gòu)未知，那么攻擊者就很難對(duì)他們知道的參數(shù)進(jìn)行爆密。

能否理解并利用SQL注是區(qū)分一般攻擊者和攻擊者的一個(gè)標(biāo)準(zhǔn)。面對(duì)嚴(yán)密禁用詳細(xì)錯(cuò)誤消息的防御，大多數(shù)新手會(huì)轉(zhuǎn)向下一目標(biāo)。但攻破SQL盲注漏洞并非可能，我們可借助很多技術(shù)。它們?cè)试S攻擊者利用時(shí)間、響應(yīng)和非主流通道（比如DNS)來(lái)提取數(shù)據(jù)。以SQL查詢(xún)方式提問(wèn)一個(gè)返回TRUE或FALSE的簡(jiǎn)單問(wèn)題并重復(fù)進(jìn)行上千次，數(shù)據(jù)庫(kù)王國(guó)的大門(mén)便通常不容易發(fā)現(xiàn)SQL盲注漏洞的原因是它們隱藏在暗處。一旦發(fā)現(xiàn)漏洞后，我們就會(huì)有們能支持多種多樣的數(shù)據(jù)庫(kù)。大量的漏洞可用。要明確什么時(shí)候應(yīng)選擇基于響應(yīng)而非時(shí)間的利用和什么時(shí)候使用重量級(jí)的非主流通道工具，這些細(xì)節(jié)可節(jié)省不少時(shí)間?？紤]清楚大多數(shù)SQL盲注漏洞的自動(dòng)化程度后，不管是新手還是，都會(huì)有大量的工具可用。它們中有些是圖形化界面，有些是命令行，它有了SQL注入和SQL盲注的基礎(chǔ)知識(shí)之后，現(xiàn)在轉(zhuǎn)向進(jìn)一步利用漏洞：識(shí)別并利用一個(gè)不錯(cuò)的注入點(diǎn)之后，如何快速發(fā)現(xiàn)注入并修復(fù)漏洞。

假如你是hack，準(zhǔn)備攻擊一家企業(yè)，那么首先要做的件事就是識(shí)別盡可能多的API。我首先按常規(guī)方式使用目標(biāo)應(yīng)用程序，在瀏覽器中打開(kāi)Web應(yīng)用程序或者在手機(jī)端安裝移動(dòng)應(yīng)用程序，然后使用代理監(jiān)視通信。代理能夠捕獲瀏覽器或移動(dòng)應(yīng)用程序?qū)蠖薟eb服務(wù)器發(fā)出的所有請(qǐng)求，從而使攻擊者可以對(duì)所有可用的API端點(diǎn)進(jìn)行分類(lèi)。例如，大多數(shù)API都將API/V1/login作為身份驗(yàn)證端點(diǎn)。
如果目標(biāo)也是移動(dòng)應(yīng)用程序，則將應(yīng)用程序包拆開(kāi)，并查看應(yīng)用程序內(nèi)部可用的API調(diào)用?？紤]到所有可能的活動(dòng)，攻擊者可以搜索無(wú)確保護(hù)用戶(hù)數(shù)據(jù)的常見(jiàn)配置錯(cuò)誤或API。后，攻擊者尋找API文檔。一些組織為第三方發(fā)布API文檔，但為所有用戶(hù)使用相同的API端點(diǎn)。有了一個(gè)不錯(cuò)的端點(diǎn)清單，攻擊者就可以測(cè)試標(biāo)準(zhǔn)用戶(hù)行為和異常行為測(cè)試，可以通過(guò)兩種方法找到有趣的漏洞。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.xh798.com