SINE安全對網(wǎng)站漏洞檢測具有的安全技術(shù)人員，而且完全不依靠軟件去掃描，所有漏洞檢測服務都是由我們?nèi)斯とz測，比如對代碼進行審計，以及都每個網(wǎng)站或APP的功能進行單獨的詳細測試，如跨權(quán)限漏洞，支付漏洞繞過，訂單價格被篡改，或訂單支付狀態(tài)之類的，或會員找回密碼這里被強制找回等，還有一些邏輯漏洞，上傳漏洞，垂直權(quán)限漏洞等等。
近年來，各類頻繁遭受攻擊致使網(wǎng)絡癱瘓、內(nèi)容被篡改，商業(yè)機密和用戶隱私被取，使經(jīng)營者和用戶都損失慘重。電商和服務一直是網(wǎng)絡攻擊的重災區(qū)，京東、當當網(wǎng)都曾遭受過攻擊，造成直接經(jīng)濟損失。
為什么愛找你的麻煩？
試想當你的客戶訪問你的出現(xiàn)這樣的情況，不僅浪費優(yōu)化推廣費用和人力成本，還有可能對你的企業(yè)口碑以及造成惡劣的影響！再被一次次打擊的情況下，我們不禁要問：為什么愛找你的麻煩？
程序本身存在漏洞
很多企業(yè)的是在網(wǎng)上下載的開源代碼，或隨便找網(wǎng)建公司開發(fā)的，程序本身就存在漏洞風險。試想一下，你花請幾百或幾千元做的東西，兩天就出來了。是菜場買白菜嗎？安全能提高到哪里去？
解決方案：發(fā)現(xiàn)問題查找問題原因，組織技術(shù)團隊進行排查分析。

以盜幣為主要目的的攻擊并非個例，隨著以為代表的數(shù)字的盛行，世界各地的交易中心成為了攻擊的一個新目標，頻頻爆出遭遇的攻擊，用戶賬戶被盜、用戶數(shù)據(jù)泄露、損失慘重等事件。

近，攻擊者接管賬戶的嘗試在不斷增加。錯誤消息過于“詳細周到”，往往使此類攻擊更加容易。冗長的錯誤消息會引導攻擊者了解他們需要進行哪些更改才能偽裝成合法請求。API專為低負載下的高速交易而設計，使攻擊者可以使用高性能系統(tǒng)找出有效賬戶，然后嘗試登錄并更改密碼進行利用。解決方法：不要拿用戶體驗作為擋牌，有些看起來有利于用戶體驗的做法，未必有利于安全性。系統(tǒng)返回的錯誤信息不應該包括錯誤的用戶名或錯誤的密碼，甚至不能包含錯誤信息的類別（用戶名還是密碼錯誤）。用于查詢數(shù)據(jù)的錯誤消息也是如此，如果查詢/搜索格式不正確或由于某種原因而無法執(zhí)行，則應該返回“沒有營養(yǎng)”的錯誤信息：“糟糕，哪里出錯了”。

早上，我突然被客戶告知，他部署在云平臺的服務器被檢測到webshell，已經(jīng)查殺了，而且云平臺檢測到這個ip是屬于我公司的，以為是我們公司做了測試導致的，問我這個怎么上傳的webshell，我當時也是一臉懵逼，我記得很清楚這是我的項目，是我親自測試的，上傳點不會有遺漏的，然后開始了我的排查隱患工作。
巡檢查殺首先，我明白自己要做的不是找到這個上傳的位置是哪里出現(xiàn)的，我應該登上服務器進行webshel查殺，進行巡檢，找找看是否被別人入侵了，是否存在后門等等情況。雖然報的是我們公司的ip，萬一漏掉了幾個webshell，被別人上傳成功了沒檢測出來，那服務器被入侵了如何能行。所以我上去巡檢了服務器，上傳這個webshell查殺工具進行查殺，使用netstat-anpt和iptables-L判斷是否存在后門建立，查看是否有程序占用CPU，等等，此處不詳細展開了。萬幸的是服務器沒有被入侵，然后我開始著手思考這個上傳點是怎么回事。
文檔上傳漏洞回顧首先，我向這個和我對接的研發(fā)人員咨詢這個服務器對外開放的，要了之后打開發(fā)現(xiàn)，眼熟的不就是前不久自己測試的嗎？此時，我感覺有點懵逼，和開發(fā)人員對質(zhì)起這個整改信息，上次測試完發(fā)現(xiàn)這個上傳的地方是使用了白名單限制，只允許上傳jpeg、png等圖片格式了。當時我還發(fā)現(xiàn)，這個雖然上傳是做了白名單限制，也對上傳的文檔名做了隨機數(shù)，還匹配了時間規(guī)則，但是我還是在返回包發(fā)現(xiàn)了這個上傳路徑和文檔名，這個和他提議要進行整改，不然這個會造成這個文檔包含漏洞，他和我反饋這個確實進行整改了，沒有返回這個路徑了。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。
http://www.cxftmy.com