网站的安全： 保障用户访问的网站是一个真实，安全的网站，防止非法用户冒称客户下订单，支付链接的防篡改，以及客户信息密码防恶意修改。启用Sine安全网站防篡改方案，对于网站的首页和各个栏目，进行全面的安全监视，对于修改网站首页等特殊的页面，指定程序进行认证修改，其他进程软件的修改进行拦截并报警。 非法用户登录以及恶意修改，进行二次安全验证，支付页面进行SSL加密，双重的加密保护措施。网站的管理后台进行军规化的安全验证，包括了指定IP，设备以及二次验证，手机短信码验证。 对网站程序代码进行安全审计，对于上传漏洞，XSS跨站漏洞、SQL注入等等进行安全的代码审计，网站防CC攻击策略，对网站程序代码加密。

检测网站的上传功能是否存在上传漏洞，包含move_uploaded_file()上传函数测试有没有安全过滤，文件头、content_type验证绕过，绕过上传文件格式（asp,php,jsp.等脚本文件），绕过上传的目录，文件操作漏洞（文件包含漏洞，本地文件包含，远程文件包含，文件包含截断，任意文件读取，文件任意删除漏洞）如果存在此漏洞，攻击者可直接利用该漏洞上传木马从而在网站上获取Webshell并进而控制网站，也可以破坏网站，危害较严重。。

网站的白盒测试简单的来讲就是已经 获取到了网站的相关信息，包括网站的后台管理员账号密码，网站的源代码获取，网站的服务器系统权限，FTP账号密码都已获知 ，在这个前提下对网站进行渗透测试，这样可以全面的对网站漏洞进行检测与测试，比黑盒测试 找到的漏洞会更多，因为熟知了代码是如何写的，就会找到更多漏洞，白盒测试时间较短，渗透 测试结果较好，也可以精准的对网站漏洞进行修复，并提供安全报告以及网站安全防护方案。

首先跟客户沟通确认渗透测试的服务内容，整个网站渗透的内容，详细的写到服务合同中去，对有些网站渗透测试的条件进行补充，付款方式，以及渗透测试报告的要求 ，都要进行前期的沟通确定。然后接下来就是付款开 工，对要进行渗透测试的网站进行信息收集，收集网站的域名是在
哪里买的，域名的whios的信 息，注册账号信息，以及网站使用的系统是开源的CMS，还是自己单独开发，像 dedecms,thinkphp,ecshop,discuz都是开源的系统，再收集网站使用的IP，是否存在同一IP下多个网站使用，网 站公开的信息收集，网站管理员的对外联系方式，网站的反馈功能，会员注册功能，上传功能的 地址收集。服务器开放的端口，以及服务器的系统windows还是linux系统，使用的PHP版本， 网站环境是IIS,还是nginx,apache等版本的收集

http://www.qdshtddzkj.com