好，第二個(gè)的話，就是咱們?nèi)プ龉δ軠y(cè)試的話，你要知道你我們經(jīng)常做的一些測(cè)試的策略有哪一些，然后你是從哪些角度去做這一些測(cè)試策略的比如說這些測(cè)試策略的話有咱們的功能測(cè)試，然后 UI 兼容性測(cè)試、穩(wěn)定性測(cè)試，那這些東西你如何去做你是如何去實(shí)施的，你會(huì)從哪些角度去測(cè)試，這個(gè)也是做做咱們黑盒測(cè)試必須要掌握的一個(gè)。
啟動(dòng)一個(gè)新是一個(gè)令人興奮的項(xiàng)目，充滿了許多重要的步驟和決定。但是，作為的所有者，您不僅要處理被入侵的后果，還要對(duì)其頁(yè)面上的內(nèi)容以及人們用來與之交互的機(jī)制負(fù)責(zé)。如果您計(jì)劃存儲(chǔ)用戶信息（例如密碼或電話號(hào)碼），則必須妥善保護(hù)這些數(shù)據(jù)，否則根據(jù)某些法律，您可能會(huì)因數(shù)據(jù)泄露事件而受到罰款。
選擇可靠的主機(jī)服務(wù)商
在互聯(lián)網(wǎng)發(fā)展的早期，個(gè)人和公司將在本地化的數(shù)據(jù)中心或辦公室中獲取和維護(hù)自己的服務(wù)器，而云計(jì)算從根本上轉(zhuǎn)變了這種模式，大多數(shù)的現(xiàn)在都是通過第三方提供商托管。云計(jì)算降低了所有者的管理成本和責(zé)任，也帶來了一些安全問題。如提供商遭受數(shù)據(jù)泄露或整個(gè)數(shù)據(jù)中心出現(xiàn)故障，您的可能會(huì)丟失重要信息，因此，選擇一個(gè)可靠的主機(jī)服務(wù)商至關(guān)重要。

能否理解并利用SQL注是區(qū)分一般攻擊者和攻擊者的一個(gè)標(biāo)準(zhǔn)。面對(duì)嚴(yán)密禁用詳細(xì)錯(cuò)誤消息的防御，大多數(shù)新手會(huì)轉(zhuǎn)向下一目標(biāo)。但攻破SQL盲注漏洞并非可能，我們可借助很多技術(shù)。它們?cè)试S攻擊者利用時(shí)間、響應(yīng)和非主流通道（比如DNS)來提取數(shù)據(jù)。以SQL查詢方式提問一個(gè)返回TRUE或FALSE的簡(jiǎn)單問題并重復(fù)進(jìn)行上千次，數(shù)據(jù)庫(kù)王國(guó)的大門便通常不容易發(fā)現(xiàn)SQL盲注漏洞的原因是它們隱藏在暗處。一旦發(fā)現(xiàn)漏洞后，我們就會(huì)有們能支持多種多樣的數(shù)據(jù)庫(kù)。大量的漏洞可用。要明確什么時(shí)候應(yīng)選擇基于響應(yīng)而非時(shí)間的利用和什么時(shí)候使用重量級(jí)的非主流通道工具，這些細(xì)節(jié)可節(jié)省不少時(shí)間。考慮清楚大多數(shù)SQL盲注漏洞的自動(dòng)化程度后，不管是新手還是，都會(huì)有大量的工具可用。它們中有些是圖形化界面，有些是命令行，它有了SQL注入和SQL盲注的基礎(chǔ)知識(shí)之后，現(xiàn)在轉(zhuǎn)向進(jìn)一步利用漏洞：識(shí)別并利用一個(gè)不錯(cuò)的注入點(diǎn)之后，如何快速發(fā)現(xiàn)注入并修復(fù)漏洞。

中小企業(yè)資金匱乏，安全人員稀缺
在 50 人以下的小微企業(yè)中，高達(dá) 39.8%的企業(yè)沒有任何信息安全投入，50~100 人企業(yè)中，31.9%的企業(yè)沒有任何信息安全投入。因此，對(duì)于中小傳統(tǒng)企業(yè)用戶而言，本身并沒有過多的技術(shù)人員投入，往往等業(yè)務(wù)系統(tǒng)上線后，就很少關(guān)注線上問題。

文檔包含的概念很好理解，編程中經(jīng)常用到，比如python中的import、c中的include，php當(dāng)然也不例外。但php“牛逼”的地方在于即使包含的文檔不是php類型，也不會(huì)報(bào)錯(cuò)，并且其中包含的php代碼也會(huì)執(zhí)行，這是文檔包含漏洞產(chǎn)生的根本原因。文檔包含漏洞和任意文檔漏洞很相似，只不過一個(gè)是解析，一個(gè)是。
漏洞利用的幾種方式：1.向服務(wù)器寫馬：圖片中寫惡意代碼(結(jié)合文檔上傳），錯(cuò)誤日志寫惡意代碼(錯(cuò)誤訪問會(huì)被記錄到錯(cuò)誤日志中），session中寫惡意代碼。訪問圖片、日志文檔或session文檔，服務(wù)器生成木馬，直接getshell。2.讀取敏感文檔：結(jié)合目錄遍歷漏洞讀取敏感文檔。3.偽協(xié)議：偽協(xié)議可以使用的話，可以嘗試讀取文檔或命令執(zhí)行。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://m.daweidiaosu.cn