關于黑盒測試中的業務功能安全測試，個如果說你是去做那種性比較強的這一種業務，比如說咱們的這一個銀行類的金融類的這些業務，那么它可能個要求就是你要有這個什么業務能力。 因為有時候一些復雜的業務的話，并不是說如果說以前你沒做的話，他可能就光這個業務的培訓那就要給你來個三個月或甚至半年的一個時間，因此說對于這一種業務能力要求比較高的這種項目或者企業里面去招人的話，他個看中或者說他有一個硬性的要求，就是說你有沒有做過相關的這一些產品，如果做過的話，這一類人員他是優先的。
修改后臺初始密碼
每個都有一個后臺賬戶，用于日常的維護更新，而很多后臺初始密碼都過于簡單，在拿到后臺管理賬號密碼時，要先把初始密碼修改掉，帳號密碼要有一定的復雜度，不要使用域名、年份、姓名、純數字等元素，要知道密碼越好記也就意味著越容易被攻破。

在安全運營工作當中，經常需要系統日志、設備威脅事件日志、告警日志等，各種日志進行收集匯聚，具體分析，通過日志來分析威脅事件發生源頭、相關聯的人和資產關系，以日志數據的角度，來追究溯源威脅事件發生的過程和基本概括原貌。評估威脅事件產生危害的影響范圍，關聯到人與資產，采取順藤摸瓜，將各種信息進行關聯，無論是二維關系數據聯系關聯，還是大數據分析建模，數據的分類采集都是基礎工作。
企業安全相關的各種日志數據，存放的位置、形式、大小、業務、使用人群都不同，如何根據不同業務規模的日志數據，采取相得益彰的技術形式進行合理的日志、聚合、分析、展示，就成為了一個課題，接下來，我們主要圍繞這些相關的主題進行討論分享，通過具體的日志聚合分析實踐，讓數據有效的關聯，使其在威脅事件分析、應急事件分析響應過程中讓數據起到方向性指引作用、起到探測器的作用，通過以上技術實踐，讓更多日志數據，有效的為企業安全運營提供更好的服務。
在實際工作當中，日志聚合分析工具種類繁多：ELK、Graylog、rk、Clickhouse、Superset等工具。我們以常用的日志數據使用場景為例子，結合這些工具的使用，向大家展示在實際數據工作中數據運營的情況，如何進行數據聚合分析，以提供實際的操作案例，能能直觀的了解數據管理的工作流程，之后可以重復實踐，不繞道走遠路，著重給出日志分析工具使用的要點，快速上手掌握相關工具的使用，掌握日常日志數據實操及相關方法。
為了方便實踐，盡量避免商業系統和設備在案例中的出現，以可以方便取材的開源項目為基礎，展開案例的講解，大家可以容易的在網上取材這些軟件系統，在本地完成實踐練習過程。本篇介紹入侵檢測系統Suricata及威脅日志事件管理系統Graylog，通過對入侵檢測系統的日志進行收集，來展現日志收集處理的典型過程。
開源IDS系統Suricata與威脅事件日志管理平臺Graylog結合，對網絡環境進行截取與日志收集分析統計，通過Suricata捕獲輸出的日志，經過Nxlog日志收集工具，將相關事件日志、告警日志、HTTP日志，通過Graylog進行日志聚合，對日志進行統計分析，分析網絡環境中存在各種威脅事件類型，通過自定義Suricata的檢測規則，控制入侵檢測的策略，以及入侵檢查系統的輸出結果。

插件技術的本質是通過APP軟件的重要函數，模擬APP客戶端，欺服務器發送虛假數據的手段。例如，瘋狂的紅包軟件，其原理是利用HOOK技術紅包函數，制作插件與APP函數對接，達到插件的目的，一些大型APP軟件具有HOOK識別機制，但大多數APP仍然沒有保護的概念。解決方案:混淆或加密關鍵函數或代碼執行過程。

接下來還得檢測網站的各項功能以及APP功能是否存在邏輯漏洞，越權漏洞，水平垂直等等，我們SINE安全技術詳細的對每一個功能都測試很多遍，一次，兩次，多次的反復進行，在用戶重置密碼功能這里發現有漏洞，正常功能代碼設計是這樣的流程，首先會判斷用戶的賬號是否存在，以及下一步用戶的是否與數據庫里的一致，這里簡單地做了一下安全校驗，但是在獲取驗證碼的時候并沒有做安全校驗，導致可以post數據包，將為任意來獲取驗證碼，利用驗證碼來重置密碼。
SINE安全網站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。
http://www.66bta.com