网站安全性测试听起来像专业黑客能力的事，，，，，其实没那么玄乎。。。。。。把网站设想成一座屋子，，，，，安全性测试就是进门之前先查抄门锁、窗户，，，，，还有墙缝里有没有洞。。。。。。做一次齐全的测试，，，，，能让你知路这座屋子到底扛不扛得住人闯进来。。。。。。今天这篇就把测试的蹊径掰开讲明显，，，，，不绕弯子。。。。。。

先说最要紧的 网站安全性测试到底在测什么

测的不是此外器材，，，，，就是缝隙、弱口令、不安全配置、敏感信息泄露这些里子问题。。。。。。好比SQL注入、XSS跨站剧本、CSRF这类最常见的攻击入口，，，，，都是沉点排查对象。。。。。。? 说白了，，，，，就是模拟攻击者的眼睛，，，，，把能钻的空子一个个揪出来。。。。。。好多人以为买个防火墙就安枕无忧，，，，，其实缝隙往往藏在代码逻辑里，，，，，不专门测底子发现不了。。。。。。

缝隙扫描和渗入测试是两码事

这两个词时时被人混着说，，，，，但干的活齐全不一样。。。。。。缝隙扫描就像去医院做体检，，，，，拿工具自动扫一遍，，，，，把已知的缝隙列出来，，，，，好比版本过低、补丁没打。。。。。。渗入测试更像真人演练，，，，，带着思路去攻破系统，，，，，能发现扫描器发现不了的问题。。。。。。? 一个靠工具，，，，，一个靠脑子，，，，，两个都得做。。。。。。光靠扫描器容易漏掉业务逻辑上的坑，，，，，光做渗入又费时费劲，，，，，搭配着来才稳妥。。。。。。

这几个工具是入门首选

新手不用把工具装一屋子，，，，，先摸熟几个就够用了。。。。。。Nmap用来扫端口、查服务，，，，，搞明显网站哪些门是开着的；；；；；Burp Suite是抓包改包的神器，，，，，测Web利用根基离不开它；；；；；OWASP ZAP免费开源，，，，，界面敦睦，，，，，适合拿来练手。。。。。。要是专门搞SQL注入，，，，，sqlmap能省不少事。。。。。。工具不在多，，，，，顺手就行，，，，，关键是知路每一步该用哪个。。。。。。

按这个流程走 测起来内心有底

第一步是信息网络，，，，，先摸清网站用了什么服务器、什么框架、开了哪些端口。。。。。。第二步是缝隙扫描，，，，，用工具把已知缝隙过一遍。。。。。。第三步是人为验证，，，，，扫描了局里好多是误报，，，，，得一个个确认。。。。。。第四步是渗入测试，，，，，针对确认过的缝隙试着一层层往里面走，，，，，看能拿到什么权限。。。。。。第五步出汇报，，，，，把缝隙的触发前提、影响领域、建复建议都写明显。。。。。。? 挨次千万别乱，，，，，跳步很容易漏器材，，，，，也别急着直接开打，，，，，没摸清情况就着手，，，，，浪费功夫还测不出真问题。。。。。。

测试了局出来了怎么用

汇报拿得手，，，，，不是看一眼就完事的。。。。。。先把缝隙按高危、中危、低危排个序，，，，，高危的好比SQL注入、号令执杏注越权接见，，，，，必须顿时建。。。。。。中危的好比开启了不安全的加密和谈，，，，，能够约个功夫处置。。。。。。低危的好比信息泄露，，，，，不影响重要职能，，，，，也得记在案子上。。。。。。建完再复测一遍，，，，，确认没问题才算真的关环。。。。。。? 别汇报一放就再也不看，，，，，那样跟没测一样。。。。。。

网站安全性测试不是一次性买卖，，，，，网站改版、加职能、换服务器之后，，，，，都得再来一遍。。。。。。你上次测试是什么时辰？？？？？？