SINE安全对网站漏洞检测具有的安全技术人员，而且完全不依靠软件去扫描，所有漏洞检测服务都是由我们人工去检测，比如对代码进行审计，以及都每个网站或APP的功能进行单独的详细测试，如跨权限漏洞，支付漏洞绕过，订单价格被篡改，或订单支付状态之类的，或会员找回密码这里被强制找回等，还有一些逻辑漏洞，上传漏洞，垂直权限漏洞等等。
应对措施：文档上传的绕过方法网上一搜有很多（比如upload-labs的各种方法、绕防火墙的各种方法（虽然很多已经过时），可能还有些没有公开的方法，总结一下：1.常规的绕过方法：文档后缀（大小写、文档别名等等）、文档名（文档名加分号、引号等等）、文档内容（比如图片马）、请求包结构等等。
2.结合服务器解析漏洞：IIS、apache、nginx的特定版本都有对应的解析漏洞。3.利用文档包含漏洞：如果有文档包含漏洞，可以结合文档包含漏洞，上传马。4.利用组件漏洞：如果知道组件版本和名称，可以网上找一下相应漏洞。注：手动一个一个去试各种方法，的确很麻烦，可以试试burpsuit的上传插件upload-scanner(但本人觉得并不好用）。

近，攻击者接管账户的尝试在不断增加。错误消息过于“详细周到”，往往使此类攻击更加容易。冗长的错误消息会引导攻击者了解他们需要进行哪些更改才能伪装成合法请求。API专为低负载下的高速交易而设计，使攻击者可以使用高性能系统找出有效账户，然后尝试登录并更改密码进行利用。解决方法：不要拿用户体验作为挡牌，有些看起来有利于用户体验的做法，未必有利于安全性。系统返回的错误信息不应该包括错误的用户名或错误的密码，甚至不能包含错误信息的类别（用户名还是密码错误）。用于查询数据的错误消息也是如此，如果查询/搜索格式不正确或由于某种原因而无法执行，则应该返回“没有营养”的错误信息：“糟糕，哪里出错了”。

在之前的一系列文章中，我们主要讲了内网渗透的一些知识，而在现实中，要进行内网渗透，一个很重要的前提便是：你得能进入内网啊！所以，从这篇文章开始，我们将开启Web渗透的学习（内网渗透系列还会继续长期更新哦）。渗透测试，是渗透测试完全模拟hack可能使用的攻击技术和漏洞发现技术，对目标网络、主机、应用的安全作深入的探测，帮助企业挖掘出正常业务流程中的安全缺陷和漏洞，助力企业先于hack发现安全风险，防患于未然。
Web应用的渗透测试流程主要分为3个阶段，分别是：信息收集→漏洞发现→漏洞利用。本文我们将对信息收集这一环节做一个基本的讲解。信息收集介绍进行web渗透测试之前，重要的一步那就是就是信息收集了，俗话说“渗透的本质也就是信息收集”，信息收集的深度，直接关系到渗透测试的成败。打好信息收集这一基础可以让测试者选择合适和准确的渗透测试攻击方式，缩短渗透测试的时间。一般来说收集的信息越多越好，通常包括以下几个部分：

接下来还得检测网站的各项功能以及APP功能是否存在逻辑漏洞，越权漏洞，水平垂直等等，我们SINE安全技术详细的对每一个功能都测试很多遍，一次，两次，多次的反复进行，在用户重置密码功能这里发现有漏洞，正常功能代码设计是这样的流程，首先会判断用户的账号是否存在，以及下一步用户的是否与数据库里的一致，这里简单地做了一下安全校验，但是在获取验证码的时候并没有做安全校验，导致可以post数据包，将为任意来获取验证码，利用验证码来重置密码。
SINE安全网站漏洞检测时必须要人工去审计漏洞和查找漏洞找出问题所在并修复漏洞，对各项功能都进行了全面的安全检测。
http://www.qdshtddzkj.com