首先跟客户沟通确认渗透测试的服务内容，整个网站渗透的内容，详细的写到服务合同中去，对有些网站渗透测试的条件进行补充，付款方式，以及渗透测试报告的要求 ，都要进行前期的沟通确定。然后接下来就是付款开 工，对要进行渗透测试的网站进行信息收集，收集网站的域名是在
哪里买的，域名的whios的信 息，注册账号信息，以及网站使用的系统是开源的CMS，还是自己单独开发，像 dedecms,thinkphp,ecshop,discuz都是开源的系统，再收集网站使用的IP，是否存在同一IP下多个网站使用，网 站公开的信息收集，网站管理员的对外联系方式，网站的反馈功能，会员注册功能，上传功能的 地址收集。服务器开放的端口，以及服务器的系统windows还是linux系统，使用的PHP版本， 网站环境是IIS,还是nginx,apache等版本的收集

检测网站是否存在源代码泄露漏洞，如果存在此漏洞，攻击者可直接下载网站的源代码。并获取网站的数据库密码以及管理密码。检测网站的某些隐藏目录是否存在泄露漏洞。如果存在此漏洞，攻击者可了解网站的全部结构。普通信息泄漏。包括客户端明文存储密码、以及web路径遍历、系统路径遍历等。

网站安全渗透测试是对网站和服务器的安全测试，通过模拟攻击的手法，切近实战，提前检查网站的漏洞，然后进行评估形成安全报告。这种安全测试也被成为黑箱测试，类似于的“实战演习”，即没有网站代码和服务器权限的情况下，从公开访问的外部进行安全渗透。 我们拥有国内的专业渗透安全团队，从业信息安全十年，有着未公开的漏洞信息库，大型社工库，透过渗透测试找到网站和服务器的漏洞所在，从而确保网站的安全、服务器安全的稳定运行。

服务器安全渗透包括，内网渗透，FTP提权漏洞，SQL Server数据库提权，Mysql提权漏洞，linux本地溢出漏洞，替换系统服务漏洞，远程桌面认证绕过漏洞，端口映射漏洞，CC压力测试，DDOS压力测试，arp欺骗篡改页面测试，DNS欺骗漏洞，会话劫持漏洞，以及虚拟主机等众多应用程序系统的漏洞测试。

http://www.qdshtddzkj.com