關(guān)于黑盒測(cè)試中的業(yè)務(wù)功能安全測(cè)試，個(gè)如果說(shuō)你是去做那種性比較強(qiáng)的這一種業(yè)務(wù)，比如說(shuō)咱們的這一個(gè)銀行類的金融類的這些業(yè)務(wù)，那么它可能個(gè)要求就是你要有這個(gè)什么業(yè)務(wù)能力。 因?yàn)橛袝r(shí)候一些復(fù)雜的業(yè)務(wù)的話，并不是說(shuō)如果說(shuō)以前你沒做的話，他可能就光這個(gè)業(yè)務(wù)的培訓(xùn)那就要給你來(lái)個(gè)三個(gè)月或甚至半年的一個(gè)時(shí)間，因此說(shuō)對(duì)于這一種業(yè)務(wù)能力要求比較高的這種項(xiàng)目或者企業(yè)里面去招人的話，他個(gè)看中或者說(shuō)他有一個(gè)硬性的要求，就是說(shuō)你有沒有做過(guò)相關(guān)的這一些產(chǎn)品，如果做過(guò)的話，這一類人員他是優(yōu)先的。
修改后臺(tái)初始密碼
每個(gè)都有一個(gè)后臺(tái)賬戶，用于日常的維護(hù)更新，而很多后臺(tái)初始密碼都過(guò)于簡(jiǎn)單，在拿到后臺(tái)管理賬號(hào)密碼時(shí)，要先把初始密碼修改掉，帳號(hào)密碼要有一定的復(fù)雜度，不要使用域名、年份、姓名、純數(shù)字等元素，要知道密碼越好記也就意味著越容易被攻破。

文件上傳漏洞。造成文件上傳漏洞的主要原因是應(yīng)用程序中有上傳功能，但上傳的文件沒有通過(guò)嚴(yán)格的合法性檢查或者檢查功能有缺陷，導(dǎo)致木馬文件上傳到服務(wù)器。文件上傳漏洞危害大，因?yàn)閻阂獯a可以直接上傳到服務(wù)器，可能造成服務(wù)器網(wǎng)頁(yè)修改、網(wǎng)站暫停、服務(wù)器遠(yuǎn)程控制、后門安裝等嚴(yán)重后果。文件上傳的漏洞主要是通過(guò)前端JS旁路、文件名旁路和Content-Type旁路上傳惡意代碼。

中小企業(yè)資金匱乏，安全人員稀缺
在 50 人以下的小微企業(yè)中，高達(dá) 39.8%的企業(yè)沒有任何信息安全投入，50~100 人企業(yè)中，31.9%的企業(yè)沒有任何信息安全投入。因此，對(duì)于中小傳統(tǒng)企業(yè)用戶而言，本身并沒有過(guò)多的技術(shù)人員投入，往往等業(yè)務(wù)系統(tǒng)上線后，就很少關(guān)注線上問(wèn)題。

同樣地，由于可用的參數(shù)太多，收集數(shù)據(jù)將成為顯而易見的下一步行動(dòng)。許多企業(yè)的系統(tǒng)支持匿名連接，并且傾向泄漏普通用戶不需要的額外數(shù)據(jù)。另外，許多企業(yè)傾向于存儲(chǔ)可以直接訪問(wèn)的數(shù)據(jù)。安全人員正在努力應(yīng)對(duì)API請(qǐng)求經(jīng)常暴露數(shù)據(jù)存儲(chǔ)位置的挑戰(zhàn)。例如，當(dāng)我查看安全攝像機(jī)中的視頻時(shí)，可以看到該信息來(lái)自AmazonS3存儲(chǔ)庫(kù)。通常，那些S3存儲(chǔ)庫(kù)的保護(hù)并不周全，任何人的數(shù)據(jù)都可以被檢索。
另一個(gè)常見的數(shù)據(jù)挑戰(zhàn)是數(shù)據(jù)過(guò)載，很多企業(yè)都像入冬前的花栗鼠，存儲(chǔ)的數(shù)據(jù)量遠(yuǎn)遠(yuǎn)超出了需要。很多過(guò)期用戶數(shù)據(jù)已經(jīng)沒有商業(yè)價(jià)值和保存價(jià)值，但是如果發(fā)生泄密，則會(huì)給企業(yè)帶來(lái)巨大的和合規(guī)風(fēng)險(xiǎn)。解決方法：對(duì)于存儲(chǔ)用戶數(shù)據(jù)的企業(yè)，不僅僅是PII或PHI，都必須進(jìn)行徹底的數(shù)據(jù)審查。在檢查了存儲(chǔ)的數(shù)據(jù)之后，應(yīng)制定數(shù)據(jù)訪問(wèn)規(guī)則并進(jìn)行測(cè)試。確保能夠匿名訪問(wèn)的數(shù)據(jù)不涉及任何敏感數(shù)據(jù)。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.agrivod.com