服务人工
漏洞检测项目所有
优势服务好
APP漏洞检测支持
服务地区全国
许多客户在网站，以及APP上线的同时，都会提前的对网站进行全面的渗透测试以及安全检测，提前检测出存在的网站漏洞，以免后期网站发展过程中出现重大的经济损失，前段时间有客户找到我们SINE安全公司做渗透测试服务，在此我们将把对客户的整个渗透测试过程以及安全测试，发现的漏洞都记录下来，分享给大家，也希望大家更深地去了解渗透测试。
攻击产业链成熟，攻击成本极低
目前黑产产业愈发成熟，发起一次网络攻击或入侵的代价变得非常低廉，如果你在网上搜一搜，就会发现，仅需花费数十元，便可以购买 50M 的日攻击服务。如果包月，费用更低，即花费 500 元就可以攻击一个中小企业长达一个月。这样一来，企业将面临的不但是要在应用架构上花重金配置的安全防护类产品，还需要在安全防护方面投入运维人力，中小企业根本无力承担，安全成为中小企业无法承受之重。
当攻击者通过API调用遍历攻击系统时，他们必须弄清楚可以发送些什么来获取数据。攻击者“信奉”这样的一个事实：即越复杂的系统，出错的地方越多。攻击者识别出API后，他们将对参数进行分类，然后尝试访问管理员（垂直特权升级）或另一个用户（水平特权升级）的数据以收集其他数据。通常，太多不必要的参数被暴露给了用户。
在近的研究项目中，我们对目标服务的API调用返回了大量数据，很多都是不必要的数据信息，例如付款网关的处理器密钥和可用的折扣信息等。这些“奖励信息”使攻击者可以更好地理解这些API调用的上下文和语法。攻击者不需要太多的想象力就能弄清楚下一步该怎么做。这些额外的参数为攻击者提供了丰富的攻击数据集。解决方法：如果将用户看到的内容范围限制为必需内容，限制关键数据的传输，并使数据查询结构未知，那么攻击者就很难对他们知道的参数进行爆密。
选择安全稳定的服务器
众多企业出现安全问题普遍的因素，就是服务器不稳定，DNS、快照被劫持，出现了乱七八糟的广告内容，所以建时，一定要选购比较的、安全性及稳定性高的服务器。
其实从开发的角度，如果要保证代码至少在逻辑方面没有明显的漏洞，还是有些繁琐的。举个简单的例子，如网站的数据检验功能，不允许前端提交不符合当前要求规范的数据（比如年龄文本框部分不能提交字母）。那么为了实现这个功能，首先开发者肯定要在前端实现该功能，直接在前端阻止用户提交不符规范的数据，否则用户体验会很差，且占用服务器端的资源。
但是没有安全意识或觉得麻烦的开发者就会仅仅在前端用Js进行校验，后端没有重复进行校验。这样就很容易给恶意用户机会：比如不通过前端页面，直接向后端接口发送数据：或者，前端代码编写不规范，用户可以直接在浏览器控制台中用自己写的Js代码覆盖原有的Js代码；或者，用户还可以直接在浏览器中禁用Js；等等。总之，前端的传过来的数据可信度基本上可以认为比较低，太容易被利用了。
而我的思路都是很简单的，就是关注比较重要的几个节点，看看有没有可乘之机。如登录、权限判定、数据加载等前后，对方是怎么做的，用了什么样的技术，有没有留下很明显的漏洞可以让我利用。像这两个网站，加载的Js文档都没有进行混淆，注释也都留着，还写得很详细。比较凑巧的是，这两个网站都用到了比较多的前端的技术，也都用到了sessionStorage。
SINE安全网站漏洞检测时必须要人工去审计漏洞和查找漏洞找出问题所在并修复漏洞，对各项功能都进行了全面的安全检测。
http://www.qdshtddzkj.com
