網(wǎng)站安全從業(yè)者 滲透測試經(jīng)驗暢談

時間：2020-03-10作者：青島四海通達電子科技有限公司瀏覽：861

這幾天在2020RSAC安全行業(yè)盛會上聽了一名滲透大佬的經(jīng)驗分享，感覺得益匪淺。

一、滲透測試服務中的常見問題

1、對客戶網(wǎng)站系統(tǒng)，之前在其他幾家安全公司做過滲透測試服務，那么我們接手的話要如何進行？深入深入分析客戶程序，認真細致發(fā)現(xiàn)程序*、深層次漏洞。

2、如果客戶的程序，部署了環(huán)境waf*墻服務，我們要如何進行？還可以繞過web*墻采取滲透測試，比如還可以通過內(nèi)部局域網(wǎng)的技術(shù)手段去測試等?？蛻衄F(xiàn)有的網(wǎng)站安全防護，未必安全，非常*被繞過。

3、客戶程序，使用ukey硬件設(shè)備登錄認證，還需要安全滲透測試嗎？

Ukey硬件設(shè)備的安全性也需要驗證安全測試，之前有過此設(shè)備發(fā)送一個驗證后，隨后這個驗證還可以重復使用的情況。

4、客戶程序，網(wǎng)絡(luò)層協(xié)議是用的SSL證書加密傳輸?shù)?，傳輸?shù)據(jù)這里也做了rsa加密導致截取不到數(shù)據(jù)包，接下來該怎么辦？

試著一些常用到的破解方式，比如對https證書偽造，協(xié)議重置，對授權(quán)程序采取滲透測試時，千萬不要去測試沒有經(jīng)過授權(quán)的系統(tǒng)哦.

5、客戶網(wǎng)站程序，似乎是靜態(tài)網(wǎng)頁，無法進入滲透測試。我該怎么辦？

網(wǎng)站中不斷的去抓數(shù)據(jù)包分析，然后去尋找有動態(tài)腳本交互功能的地方查找問題。

6、客戶的系統(tǒng)程序，我們需不需要上網(wǎng)站漏洞掃描器采取掃描？

盡量不要用漏洞掃描器，降低對客戶現(xiàn)有正在運行系統(tǒng)的傷害，特別是比較敏感關(guān)鍵程序，也別內(nèi)網(wǎng)滲透。比較敏感程序采取測試，較好是申請搭建測試環(huán)境，用測試賬號或申請賬號。

7、客戶程序，在安全滲透測試發(fā)現(xiàn)好像已經(jīng)被入侵了，該如何處理？

發(fā)現(xiàn)被黑客入侵的跡象，要馬上告知客戶，并隨時準備應急響應處理安全問題

二、實戰(zhàn)經(jīng)驗積累

1、每次滲透測試客戶項目，客戶系統(tǒng)安全測試都會是你成長道路上的老師。

2、從滲透測試過程中深入分析自身的不足，隨后在以后的項目行動中去彌補不足之處。

3、要善于和比自身能力強的人采取溝通，洽談、求教和進修。

4、要不斷的擴充自身的知識層面，不停的提高自己的解決能力。

5、遇到困難不要退縮，要有自信心，堅信自身還可以完成每一項任務挑戰(zhàn)。

6、安全知識論壇、滲透圈子、安全雜志、周刊、漏洞平臺都可以給予你經(jīng)驗。

7、在空閑時間段經(jīng)常參加一些網(wǎng)絡(luò)安全比賽，積累比賽中的實戰(zhàn)經(jīng)驗，培養(yǎng)良好響應處理素質(zhì)。

三、客戶關(guān)系處理

1、項目滲透之前要問明白客戶需求，哪些底限或原則是不能觸及的。

2、網(wǎng)站滲透測試項目中要多聽取客戶的選擇和要求，如有特別的需求要向客戶提出，并協(xié)商處理問題。

3、滲透測試結(jié)束后，要馬上整理安全報告跟客戶做一個簡易工作情況匯報。

4、工作上如果遇到阻礙或者客戶對工作任務不令人滿意，千萬不要找借口，要馬上跟**干部匯報。

5、碰到自身不擅長的技術(shù)測試項目，在客戶面前要沉穩(wěn)一點，不要逞強，要馬上找其他同事協(xié)助。

6、了解自己的角色定位，客戶提的需求，要向**干部采取匯報，請**干部指示。

7、滲透測試后獲得的比較敏感程序文檔。數(shù)據(jù)、要跟客戶闡述會采取刪除處理。

四、攻防實戰(zhàn)演練

1、組建公司內(nèi)部的信息安全實驗室、模擬驗證較新網(wǎng)絡(luò)攻防實戰(zhàn)演練環(huán)境。

2、對符合自身業(yè)務的漏洞采取跟蹤，還原攻擊方式、利用成本和漏洞修復。

3、攻防實戰(zhàn)演練從人與機器的對抗，上升至人與人之間的較量。

4、建立全面的攻擊主動防御監(jiān)控系統(tǒng)，對內(nèi)外防護要做到有攻擊必查，尋找根源漏洞原因。

5、**知攻擊的角度去量化分析攻擊的存在，并行程攻擊應急處置方法。

6、網(wǎng)站漏洞防護已經(jīng)變的防不勝防，做好安全管控已經(jīng)刻不容緩。

五、安全職業(yè)規(guī)劃

1、自身內(nèi)心要有計劃方案，但較好是在五年之內(nèi)逐步提高自己的滲透技術(shù)實力。

2、如果對滲透測試沒有興趣了，要盡早選擇自身的其他職業(yè)，別耽擱事業(yè)。

3、合理時間段范圍內(nèi)、還可以適當選擇跳槽，融入到還可以提升你自身的企業(yè)。

4、要一步一步的從技術(shù)職業(yè)向管理職業(yè)轉(zhuǎn)型、進修管理方法，提高**能力。

5、要進一步增加自身的人際圈子，千萬不要拘束自身的人際交往范圍。

6、想要自己做滲透測試公司創(chuàng)業(yè)的朋友，要深入分析公司管理和財務會計方面的知識，千萬不要草率創(chuàng)業(yè)。

7、準備搞安全防護研發(fā)產(chǎn)品的朋友，一定要注意你開發(fā)的安全產(chǎn)品，是否能解決用戶的實際問題。

8、如果企業(yè)或個人想要對自己的系統(tǒng)或平臺進行安全滲透測試像要查找漏洞的話可以咨詢專業(yè)的網(wǎng)站安全公司,國內(nèi)像Sinesafe,鷹盾安全,啟**辰以及綠盟都是比較不錯的可以選擇。


青島四海通達電子科技有限公司專注于服務器安全,網(wǎng)絡(luò)安全公司,網(wǎng)站安全防護,網(wǎng)站漏洞檢測,滲透測試,網(wǎng)站安全,網(wǎng)站漏洞掃描,網(wǎng)站安全檢測等, 歡迎致電 13280888826

• 詞條

  詞條說明

• 網(wǎng)站安全防護需要關(guān)注那些問題

  ? ? ? ?企業(yè)要做好網(wǎng)站安全建設(shè)，一般要注意這些網(wǎng)站安全防護要求：安全管理制度Web應用安全、中間件、數(shù)據(jù)庫安全、主機安全和網(wǎng)絡(luò)安全。首先，讓我們了解一些與網(wǎng)站安全相關(guān)的術(shù)語概念，以便以后了解網(wǎng)站安全防護要求的具體內(nèi)容。 ? ? ? ?什么是安全漏洞？ ? ? ? ?一般漏

• 金融平臺網(wǎng)站服務器安全防護7個標準方法

  從總體來說，新標準規(guī)定針對服務器端安全防護的基本建設(shè)須要較為專業(yè)化與系統(tǒng)化，在解決不法攻擊時，可對其“行為舉動開展檢測，對其終端設(shè)備特性（比如，終端設(shè)備標志、硬件軟件特性等）、互聯(lián)網(wǎng)特性（比如，MAC、IP、無線網(wǎng)標志等）、顧客特性（比如，帳戶標志、手機號等）、行為舉動特性、物理具體位置等信息內(nèi)容開展辨別、標識和相關(guān)性分析”，還可以與“危害性監(jiān)測系統(tǒng)建立聯(lián)動機制，即時選用禁封等安全防護對策”。在關(guān)

• APP滲透測試與漏洞檢測 都包含哪些內(nèi)容?

  目前越來越多的APP遭受到黑客攻擊，包括數(shù)據(jù)庫被篡改，APP里的用戶數(shù)據(jù)被泄露，手機號以及姓名，密碼，資料都被盜取，很多平臺的APP的銀行卡，充值通道，聚合支付接口也都被黑客修改過，導致APP運營者經(jīng)濟損失太大，很多通過老客戶的介紹找到我們SINE安全公司，尋求安全防護，防止攻擊，根據(jù)我們SINESAFE近十年的網(wǎng)絡(luò)安全從業(yè)來分析，大部分網(wǎng)站以及APP被攻擊的原因都是網(wǎng)站代碼存在漏洞以及服務器系統(tǒng)

• 了解網(wǎng)站滲透測試中的漏洞信息搜集

  快到十二月中旬了,很多滲透測試中的客戶想要知道如何搜集這些漏洞信息和利用方式的檢測,再次我們Sine安全的工程師給大家普及下如何發(fā)現(xiàn)漏洞以及如何去獲取這些有用的信息來防護自身的網(wǎng)站項目平臺安全，把網(wǎng)站安全風險降到較低,使平臺較加安全穩(wěn)定的運行下去。威脅情報(Threat Intelligence)一般指從安全數(shù)據(jù)中提煉的，與網(wǎng)絡(luò)空間威脅相關(guān)的信息，包括威脅來源、攻擊意圖、攻擊手法、攻擊目標信息，以