許多客戶在網站，以及APP上線的同時，都會提前的對網站進行全面的滲透測試以及安全檢測，提前檢測出存在的網站漏洞，以免后期網站發展過程中出現重大的經濟損失，前段時間有客戶找到我們SINE安全公司做滲透測試服務，在此我們將把對客戶的整個滲透測試過程以及安全測試，發現的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測試。
在之前的一系列文章中，我們主要講了內網滲透的一些知識，而在現實中，要進行內網滲透，一個很重要的前提便是：你得能進入內網啊！所以，從這篇文章開始，我們將開啟Web滲透的學習（內網滲透系列還會繼續長期更新哦）。滲透測試，是滲透測試完全模擬hack可能使用的攻擊技術和漏洞發現技術，對目標網絡、主機、應用的安全作深入的探測，幫助企業挖掘出正常業務流程中的安全缺陷和漏洞，助力企業先于hack發現安全風險，防患于未然。
Web應用的滲透測試流程主要分為3個階段，分別是：信息收集→漏洞發現→漏洞利用。本文我們將對信息收集這一環節做一個基本的講解。信息收集介紹進行web滲透測試之前，重要的一步那就是就是信息收集了，俗話說“滲透的本質也就是信息收集”，信息收集的深度，直接關系到滲透測試的成敗。打好信息收集這一基礎可以讓測試者選擇合適和準確的滲透測試攻擊方式，縮短滲透測試的時間。一般來說收集的信息越多越好，通常包括以下幾個部分：

以盜幣為主要目的的攻擊并非個例，隨著以為代表的數字的盛行，世界各地的交易中心成為了攻擊的一個新目標，頻頻爆出遭遇的攻擊，用戶賬戶被盜、用戶數據泄露、損失慘重等事件。

近，攻擊者接管賬戶的嘗試在不斷增加。錯誤消息過于“詳細周到”，往往使此類攻擊更加容易。冗長的錯誤消息會引導攻擊者了解他們需要進行哪些更改才能偽裝成合法請求。API專為低負載下的高速交易而設計，使攻擊者可以使用高性能系統找出有效賬戶，然后嘗試登錄并更改密碼進行利用。解決方法：不要拿用戶體驗作為擋牌，有些看起來有利于用戶體驗的做法，未必有利于安全性。系統返回的錯誤信息不應該包括錯誤的用戶名或錯誤的密碼，甚至不能包含錯誤信息的類別（用戶名還是密碼錯誤）。用于查詢數據的錯誤消息也是如此，如果查詢/搜索格式不正確或由于某種原因而無法執行，則應該返回“沒有營養”的錯誤信息：“糟糕，哪里出錯了”。

修改后臺初始密碼
每個都有一個后臺賬戶，用于日常的維護更新，而很多后臺初始密碼都過于簡單，在拿到后臺管理賬號密碼時，要先把初始密碼修改掉，帳號密碼要有一定的復雜度，不要使用域名、年份、姓名、純數字等元素，要知道密碼越好記也就意味著越容易被攻破。
SINE安全網站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。
http://4koz.com