許多客戶在網(wǎng)站，以及APP上線的同時(shí)，都會(huì)提前的對(duì)網(wǎng)站進(jìn)行全面的滲透測(cè)試以及安全檢測(cè)，提前檢測(cè)出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時(shí)間有客戶找到我們SINE安全公司做滲透測(cè)試服務(wù)，在此我們將把對(duì)客戶的整個(gè)滲透測(cè)試過程以及安全測(cè)試，發(fā)現(xiàn)的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測(cè)試。
添加軟件防火墻
基于Web的防火墻解決方案可以監(jiān)視傳入連接并阻止可能具有威脅性的連接。管理防火墻是一項(xiàng)持續(xù)的活動(dòng)，必須確保打開正確的端口并允許在開放的互聯(lián)網(wǎng)上運(yùn)行，同時(shí)持續(xù)Web服務(wù)器訪問流量并根據(jù)網(wǎng)絡(luò)威脅級(jí)別實(shí)時(shí)調(diào)整防護(hù)策略。
維護(hù)備份策略
服務(wù)器備份對(duì)于保持安全至關(guān)重要。在代碼級(jí)別，數(shù)據(jù)應(yīng)通過配置系統(tǒng)進(jìn)行管理，隨時(shí)跟蹤每個(gè)更改并隨時(shí)間存儲(chǔ)版本記錄，如發(fā)現(xiàn)安全漏洞便可及時(shí)修補(bǔ)。在數(shù)據(jù)庫層，如果不是更頻繁，則應(yīng)至少每天記錄完整快照備份，具體取決于發(fā)生的更改和添加類型。另外保持備份副本安全也非常重要，佳做法是在云環(huán)境中保留一組備份，在本地辦公室的硬件上保留另一組備份。
使用HTTPS協(xié)議
HTTPS是以安全為目標(biāo)的HTTP通道，簡單講是HTTP的安全版。HTTP下加入SSL層，是數(shù)據(jù)傳輸?shù)陌踩A(chǔ)。使用HTTPS協(xié)議，可以加密會(huì)員登錄的賬號(hào)密碼，進(jìn)而保護(hù)用戶隱私。

那如果說我我把這個(gè)計(jì)算器這個(gè)軟件給到你，然后我跟你說，你把這個(gè)計(jì)算機(jī)上面所有的功能給我測(cè)一遍，確保它的功能是沒有問題的，沒有問題之后，我們就可以把這個(gè)軟件去給用戶進(jìn)行交付了。 如果大家想要對(duì)自己的網(wǎng)站或APP進(jìn)行黑盒功能測(cè)試的話可以向網(wǎng)站安全公司尋求服務(wù)，國內(nèi)SINESAFE,鷹盾安全，綠盟，啟明星辰，都是做的比較好的安全公司。

許多開發(fā)人員認(rèn)為APP移動(dòng)軟件安全性高，不太重視客戶端的安全。出乎意料的是，滲透方式的方法超出了想象。通常，他們會(huì)編譯APP軟件可以閱讀的代碼，從中提取敏感的信息，如通信密鑰、客戶加密算法、常量數(shù)據(jù)等。擁有這些重要數(shù)據(jù)后，根據(jù)數(shù)據(jù)通信協(xié)議進(jìn)行網(wǎng)絡(luò)滲透，侵入服務(wù)器。解決方案:一定要混淆、分割、重組重要信息，安全無小事。如果開發(fā)團(tuán)隊(duì)不太了解如何操作，請(qǐng)與我們商量，對(duì)APP進(jìn)行全面的安全評(píng)價(jià)，以的想法對(duì)軟件運(yùn)行的各個(gè)環(huán)節(jié)進(jìn)行滲透型測(cè)試攻擊，挖掘APP存在的漏洞和風(fēng)險(xiǎn)。

近，攻擊者接管賬戶的嘗試在不斷增加。錯(cuò)誤消息過于“詳細(xì)周到”，往往使此類攻擊更加容易。冗長的錯(cuò)誤消息會(huì)引導(dǎo)攻擊者了解他們需要進(jìn)行哪些更改才能偽裝成合法請(qǐng)求。API專為低負(fù)載下的高速交易而設(shè)計(jì)，使攻擊者可以使用高性能系統(tǒng)找出有效賬戶，然后嘗試登錄并更改密碼進(jìn)行利用。解決方法：不要拿用戶體驗(yàn)作為擋牌，有些看起來有利于用戶體驗(yàn)的做法，未必有利于安全性。系統(tǒng)返回的錯(cuò)誤信息不應(yīng)該包括錯(cuò)誤的用戶名或錯(cuò)誤的密碼，甚至不能包含錯(cuò)誤信息的類別（用戶名還是密碼錯(cuò)誤）。用于查詢數(shù)據(jù)的錯(cuò)誤消息也是如此，如果查詢/搜索格式不正確或由于某種原因而無法執(zhí)行，則應(yīng)該返回“沒有營養(yǎng)”的錯(cuò)誤信息：“糟糕，哪里出錯(cuò)了”。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.agrivod.com