服务人工
漏洞检测项目所有
优势服务好
APP漏洞检测支持
服务地区全国
许多客户在网站，以及APP上线的同时，都会提前的对网站进行全面的渗透测试以及安全检测，提前检测出存在的网站漏洞，以免后期网站发展过程中出现重大的经济损失，前段时间有客户找到我们SINE安全公司做渗透测试服务，在此我们将把对客户的整个渗透测试过程以及安全测试，发现的漏洞都记录下来，分享给大家，也希望大家更深地去了解渗透测试。
假如你是hack，准备攻击一家企业，那么首先要做的件事就是识别尽可能多的API。我首先按常规方式使用目标应用程序，在浏览器中打开Web应用程序或者在手机端安装移动应用程序，然后使用代理监视通信。代理能够捕获浏览器或移动应用程序对后端Web服务器发出的所有请求，从而使攻击者可以对所有可用的API端点进行分类。例如，大多数API都将API/V1/login作为身份验证端点。
如果目标也是移动应用程序，则将应用程序包拆开，并查看应用程序内部可用的API调用。考虑到所有可能的活动，攻击者可以搜索无确保护用户数据的常见配置错误或API。后，攻击者寻找API文档。一些组织为第三方发布API文档，但为所有用户使用相同的API端点。有了一个不错的端点清单，攻击者就可以测试标准用户行为和异常行为测试，可以通过两种方法找到有趣的漏洞。
其实从开发的角度，如果要保证代码至少在逻辑方面没有明显的漏洞，还是有些繁琐的。举个简单的例子，如网站的数据检验功能，不允许前端提交不符合当前要求规范的数据（比如年龄文本框部分不能提交字母）。那么为了实现这个功能，首先开发者肯定要在前端实现该功能，直接在前端阻止用户提交不符规范的数据，否则用户体验会很差，且占用服务器端的资源。
但是没有安全意识或觉得麻烦的开发者就会仅仅在前端用Js进行校验，后端没有重复进行校验。这样就很容易给恶意用户机会：比如不通过前端页面，直接向后端接口发送数据：或者，前端代码编写不规范，用户可以直接在浏览器控制台中用自己写的Js代码覆盖原有的Js代码；或者，用户还可以直接在浏览器中禁用Js；等等。总之，前端的传过来的数据可信度基本上可以认为比较低，太容易被利用了。
而我的思路都是很简单的，就是关注比较重要的几个节点，看看有没有可乘之机。如登录、权限判定、数据加载等前后，对方是怎么做的，用了什么样的技术，有没有留下很明显的漏洞可以让我利用。像这两个网站，加载的Js文档都没有进行混淆，注释也都留着，还写得很详细。比较凑巧的是，这两个网站都用到了比较多的前端的技术，也都用到了sessionStorage。
下面开始我们的整个渗透测试过程，首先客户授权我们进行网站安全测试，我们才能放开手的去干，首先检测的是网站是否存在SQL注入漏洞，我们SINE安全在检测网站是否有sql注入的时候都会配合查看mysql数据库的日志来查询我们提交的SQL语句是否成功的执行，那么很多人会问该如何开启数据库的日志，如何查看呢？首先连接linux服务器的SSH端口，利用root的账号密码进服务器，打开mysql的配置文件mysqld.cnf编辑general_log_file=（log日志的），general_log=1，在服务器里输入tail -f （log），来查看实时的数据库语句执行日志。当我们SINE安全技术在测试SQL注入漏洞的时候，就会实时的看到是否有恶意的SQL语句执行成功，如果有那么数据库日志就会出现错误提示，在渗透测试中是很方便的，也更利于查找漏洞。
命令执行的漏洞。应用程序的某些函数需要调用可以执行系统命令的函数。如果这些功能或者功能的参数可以被用户控制，那么恶意的命令就有可能通过命令连接器拼接成正常的功能，从而可以随意执行系统命令。这就是命令执行漏洞，这是高风险漏洞之一。
SINE安全网站漏洞检测时必须要人工去审计漏洞和查找漏洞找出问题所在并修复漏洞，对各项功能都进行了全面的安全检测。
http://www.qdshtddzkj.com
