關(guān)于黑盒測(cè)試中的業(yè)務(wù)功能安全測(cè)試，個(gè)如果說(shuō)你是去做那種性比較強(qiáng)的這一種業(yè)務(wù)，比如說(shuō)咱們的這一個(gè)銀行類的金融類的這些業(yè)務(wù)，那么它可能個(gè)要求就是你要有這個(gè)什么業(yè)務(wù)能力。 因?yàn)橛袝r(shí)候一些復(fù)雜的業(yè)務(wù)的話，并不是說(shuō)如果說(shuō)以前你沒做的話，他可能就光這個(gè)業(yè)務(wù)的培訓(xùn)那就要給你來(lái)個(gè)三個(gè)月或甚至半年的一個(gè)時(shí)間，因此說(shuō)對(duì)于這一種業(yè)務(wù)能力要求比較高的這種項(xiàng)目或者企業(yè)里面去招人的話，他個(gè)看中或者說(shuō)他有一個(gè)硬性的要求，就是說(shuō)你有沒有做過(guò)相關(guān)的這一些產(chǎn)品，如果做過(guò)的話，這一類人員他是優(yōu)先的。
滲透軟件。WebShell不可以應(yīng)用普通的木馬，連接端應(yīng)用加密數(shù)據(jù)流量，推薦 應(yīng)用蟻劍。不應(yīng)用默認(rèn)的冰，需要修改為硬密碼鑰。內(nèi)網(wǎng)滲透時(shí)盡可能應(yīng)用socks代理，在本地操作。上傳程序到目標(biāo)服務(wù)器時(shí)，需要修改文件名稱，如svchost等，盡可能不上傳內(nèi)部自我研究軟件。透明化軟件需要去掉sqlmap、masscan、Beacon書等特征指紋。軟件需要設(shè)定線程或?yàn)g覽頻率。比如，sqlmap的-delay、網(wǎng)絡(luò)掃描時(shí)的線程在5以下。CobaltStrike上線后，設(shè)定clock.sleep600秒。手機(jī)郵件的認(rèn)證代碼需要應(yīng)用z-sms.com等在線平臺(tái)。socks代理通道需要應(yīng)用SSL加密。禁止在CS服務(wù)器上打開網(wǎng)絡(luò)服務(wù)，尤其是home目錄。小范圍傳播的軟件推薦 各大微信群透明化，以免上傳后意外跟蹤，你正好是參加團(tuán)隊(duì)。

那如果說(shuō)我我把這個(gè)計(jì)算器這個(gè)軟件給到你，然后我跟你說(shuō)，你把這個(gè)計(jì)算機(jī)上面所有的功能給我測(cè)一遍，確保它的功能是沒有問(wèn)題的，沒有問(wèn)題之后，我們就可以把這個(gè)軟件去給用戶進(jìn)行交付了。 如果大家想要對(duì)自己的網(wǎng)站或APP進(jìn)行黑盒功能測(cè)試的話可以向網(wǎng)站安全公司尋求服務(wù)，國(guó)內(nèi)SINESAFE,鷹盾安全，綠盟，啟明星辰，都是做的比較好的安全公司。

下面開始我們的整個(gè)滲透測(cè)試過(guò)程，首先客戶授權(quán)我們進(jìn)行網(wǎng)站安全測(cè)試，我們才能放開手的去干，首先檢測(cè)的是網(wǎng)站是否存在SQL注入漏洞，我們SINE安全在檢測(cè)網(wǎng)站是否有sql注入的時(shí)候都會(huì)配合查看mysql數(shù)據(jù)庫(kù)的日志來(lái)查詢我們提交的SQL語(yǔ)句是否成功的執(zhí)行，那么很多人會(huì)問(wèn)該如何開啟數(shù)據(jù)庫(kù)的日志，如何查看呢？首先連接linux服務(wù)器的SSH端口，利用root的賬號(hào)密碼進(jìn)服務(wù)器，打開mysql的配置文件mysqld.cnf編輯general_log_file=（log日志的），general_log=1，在服務(wù)器里輸入tail -f （log），來(lái)查看實(shí)時(shí)的數(shù)據(jù)庫(kù)語(yǔ)句執(zhí)行日志。當(dāng)我們SINE安全技術(shù)在測(cè)試SQL注入漏洞的時(shí)候，就會(huì)實(shí)時(shí)的看到是否有惡意的SQL語(yǔ)句執(zhí)行成功，如果有那么數(shù)據(jù)庫(kù)日志就會(huì)出現(xiàn)錯(cuò)誤提示，在滲透測(cè)試中是很方便的，也更利于查找漏洞。

結(jié)合挖掘出敏感信息和加密算法，通常通過(guò)APP客戶端和服務(wù)器通信進(jìn)行滲透攻擊，常見的通信方式有HTTP、Socket、WebSocket等，有這些重要信息后，客戶端指紋由于開發(fā)商缺乏安全意識(shí)，服務(wù)器和數(shù)據(jù)庫(kù)陷落，給客戶帶來(lái)了不可估量的損失。解決方案:做好服務(wù)器安全信任認(rèn)證，提高開發(fā)人員的安全意識(shí)，讓我們的創(chuàng)造性安全進(jìn)行安全評(píng)價(jià)和長(zhǎng)期安全運(yùn)輸，防止未來(lái)是的保護(hù)，如果想要對(duì)公司或自己的安卓APP或IOS-APP進(jìn)行全面的安全滲透測(cè)試，檢測(cè)APP的安全性的話可以向SINESAFE,鷹盾安全，綠盟，大樹安全等等尋求這方面的服務(wù)，畢竟術(shù)業(yè)有專攻
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.66bta.com