网站安全性测试听起来像专业黑客能力的事，，，，，，，，其实没那么玄乎。。。。。。。把网站设想成一座屋子，，，，，，，，安全性测试就是进门之前先查抄门锁、窗户，，，，，，，，还有墙缝里有没有洞。。。。。。。做一次齐全的测试，，，，，，，，能让你知路这座屋子到底扛不扛得住人闯进来。。。。。。。今天这篇就把测试的蹊径掰开讲明显，，，，，，，，不绕弯子。。。。。。。

先说最要紧的 网站安全性测试到底在测什么

测的不是此外器材，，，，，，，，就是缝隙、弱口令、不安全配置、敏感信息泄露这些里子问题。。。。。。。好比SQL注入、XSS跨站剧本、CSRF这类最常见的攻击入口，，，，，，，，都是沉点排查对象。。。。。。。? 说白了，，，，，，，，就是模拟攻击者的眼睛，，，，，，，，把能钻的空子一个个揪出来。。。。。。。好多人以为买个防火墙就安枕无忧，，，，，，，，其实缝隙往往藏在代码逻辑里，，，，，，，，不专门测底子发现不了。。。。。。。

缝隙扫描和渗入测试是两码事

这两个词时时被人混着说，，，，，，，，但干的活齐全不一样。。。。。。。缝隙扫描就像去医院做体检，，，，，，，，拿工具自动扫一遍，，，，，，，，把已知的缝隙列出来，，，，，，，，好比版本过低、补丁没打。。。。。。。渗入测试更像真人演练，，，，，，，，带着思路去攻破系统，，，，，，，，能发现扫描器发现不了的问题。。。。。。。? 一个靠工具，，，，，，，，一个靠脑子，，，，，，，，两个都得做。。。。。。。光靠扫描器容易漏掉业务逻辑上的坑，，，，，，，，光做渗入又费时费劲，，，，，，，，搭配着来才稳妥。。。。。。。

这几个工具是入门首选

新手不用把工具装一屋子，，，，，，，，先摸熟几个就够用了。。。。。。。Nmap用来扫端口、查服务，，，，，，，，搞明显网站哪些门是开着的；；；；；；Burp Suite是抓包改包的神器，，，，，，，，测Web利用根基离不开它；；；；；；OWASP ZAP免费开源，，，，，，，，界面敦睦，，，，，，，，适合拿来练手。。。。。。。要是专门搞SQL注入，，，，，，，，sqlmap能省不少事。。。。。。。工具不在多，，，，，，，，顺手就行，，，，，，，，关键是知路每一步该用哪个。。。。。。。

按这个流程走 测起来内心有底

第一步是信息网络，，，，，，，，先摸清网站用了什么服务器、什么框架、开了哪些端口。。。。。。。第二步是缝隙扫描，，，，，，，，用工具把已知缝隙过一遍。。。。。。。第三步是人为验证，，，，，，，，扫描了局里好多是误报，，，，，，，，得一个个确认。。。。。。。第四步是渗入测试，，，，，，，，针对确认过的缝隙试着一层层往里面走，，，，，，，，看能拿到什么权限。。。。。。。第五步出汇报，，，，，，，，把缝隙的触发前提、影响领域、建复建议都写明显。。。。。。。? 挨次千万别乱，，，，，，，，跳步很容易漏器材，，，，，，，，也别急着直接开打，，，，，，，，没摸清情况就着手，，，，，，，，浪费功夫还测不出真问题。。。。。。。

测试了局出来了怎么用

汇报拿得手，，，，，，，，不是看一眼就完事的。。。。。。。先把缝隙按高危、中危、低危排个序，，，，，，，，高危的好比SQL注入、号令执杏注越权接见，，，，，，，，必须顿时建。。。。。。。中危的好比开启了不安全的加密和谈，，，，，，，，能够约个功夫处置。。。。。。。低危的好比信息泄露，，，，，，，，不影响重要职能，，，，，，，，也得记在案子上。。。。。。。建完再复测一遍，，，，，，，，确认没问题才算真的关环。。。。。。。? 别汇报一放就再也不看，，，，，，，，那样跟没测一样。。。。。。。

网站安全性测试不是一次性买卖，，，，，，，，网站改版、加职能、换服务器之后，，，，，，，，都得再来一遍。。。。。。。你上次测试是什么时辰？？？？？？？