网站安全测试从业者经验解析
发布时间:2021-12-24 13:47:05 所属栏目:安全 来源:互联网
导读:这几天在2020RSAC安全行业盛会上听了一名渗透大佬的经验分享,感觉得益匪浅。 一、渗透测试服务中的常见问题 1、对客户网站系统,之前在其他几家安全公司做过渗透测试服务,那么我们接手的话要如何进行?深入深入分析客户程序,认真细致发现程序全方位、深层
这几天在2020RSAC安全行业盛会上听了一名渗透大佬的经验分享,感觉得益匪浅。 一、渗透测试服务中的常见问题 1、对客户网站系统,之前在其他几家安全公司做过渗透测试服务,那么我们接手的话要如何进行?深入深入分析客户程序,认真细致发现程序全方位、深层次漏洞。 2、如果客户的程序,部署了环境waf防火墙服务,我们要如何进行?还可以绕过web防火墙采取渗透测试,比如还可以通过内部局域网的技术手段去测试等。客户现有的网站安全防护,未必安全,非常容易被绕过。 3、客户程序,使用ukey硬件设备登录认证,还需要安全渗透测试吗? Ukey硬件设备的安全性也需要验证安全测试,之前有过此设备发送一个验证后,随后这个验证还可以重复使用的情况。 4、客户程序,网络层协议是用的SSL证书加密传输的,传输数据这里也做了rsa加密导致截取不到数据包,接下来该怎么办? 试着一些常用到的破解方式,比如对https证书伪造,协议重置,对授权程序采取渗透测试时,千万不要去测试没有经过授权的系统哦. 5、客户网站程序,似乎是静态网页,无法进入渗透测试。我该怎么办? 网站中不断的去抓数据包分析,然后去寻找有动态脚本交互功能的地方查找问题。 二、实战经验积累 1、每次渗透测试客户项目,客户系统安全测试都会是你成长道路上的老师。 2、从渗透测试过程中深入分析自身的不足,随后在以后的项目行动中去弥补不足之处。 3、要善于和比自身能力强的人采取沟通,洽谈、求教和进修。 4、要不断的扩充自身的知识层面,不停的提高自己的解决能力。 (编辑:云计算网_泰州站长网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |