SINE安全對(duì)網(wǎng)站漏洞檢測(cè)具有的安全技術(shù)人員，而且完全不依靠軟件去掃描，所有漏洞檢測(cè)服務(wù)都是由我們?nèi)斯とz測(cè)，比如對(duì)代碼進(jìn)行審計(jì)，以及都每個(gè)網(wǎng)站或APP的功能進(jìn)行單的詳細(xì)測(cè)試，如跨權(quán)限漏洞，支付漏洞繞過(guò)，訂單價(jià)格被篡改，或訂單支付狀態(tài)之類(lèi)的，或會(huì)員找回密碼這里被強(qiáng)制找回等，還有一些邏輯漏洞，上傳漏洞，垂直權(quán)限漏洞等等。
當(dāng)攻擊者通過(guò)API調(diào)用遍歷攻擊系統(tǒng)時(shí)，他們必須弄清楚可以發(fā)送些什么來(lái)獲取數(shù)據(jù)。攻擊者“信奉”這樣的一個(gè)事實(shí)：即越復(fù)雜的系統(tǒng)，出錯(cuò)的地方越多。攻擊者識(shí)別出API后，他們將對(duì)參數(shù)進(jìn)行分類(lèi)，然后嘗試訪問(wèn)管理員（垂直特權(quán)升級(jí)）或另一個(gè)用戶(hù)（水平特權(quán)升級(jí)）的數(shù)據(jù)以收集其他數(shù)據(jù)。通常，太多不必要的參數(shù)被暴露給了用戶(hù)。
在近的研究項(xiàng)目中，我們對(duì)目標(biāo)服務(wù)的API調(diào)用返回了大量數(shù)據(jù)，很多都是不必要的數(shù)據(jù)信息，例如付款網(wǎng)關(guān)的處理器密鑰和可用的折扣信息等。這些“獎(jiǎng)勵(lì)信息”使攻擊者可以更好地理解這些API調(diào)用的上下文和語(yǔ)法。攻擊者不需要太多的想象力就能弄清楚下一步該怎么做。這些額外的參數(shù)為攻擊者提供了豐富的攻擊數(shù)據(jù)集。解決方法：如果將用戶(hù)看到的內(nèi)容范圍限制為必需內(nèi)容，限制關(guān)鍵數(shù)據(jù)的傳輸，并使數(shù)據(jù)查詢(xún)結(jié)構(gòu)未知，那么攻擊者就很難對(duì)他們知道的參數(shù)進(jìn)行爆密。

文檔包含的概念很好理解，編程中經(jīng)常用到，比如python中的import、c中的include，php當(dāng)然也不例外。但php“牛逼”的地方在于即使包含的文檔不是php類(lèi)型，也不會(huì)報(bào)錯(cuò)，并且其中包含的php代碼也會(huì)執(zhí)行，這是文檔包含漏洞產(chǎn)生的根本原因。文檔包含漏洞和任意文檔漏洞很相似，只不過(guò)一個(gè)是解析，一個(gè)是。
漏洞利用的幾種方式：1.向服務(wù)器寫(xiě)馬：圖片中寫(xiě)惡意代碼(結(jié)合文檔上傳），錯(cuò)誤日志寫(xiě)惡意代碼(錯(cuò)誤訪問(wèn)會(huì)被記錄到錯(cuò)誤日志中），session中寫(xiě)惡意代碼。訪問(wèn)圖片、日志文檔或session文檔，服務(wù)器生成木馬，直接getshell。2.讀取敏感文檔：結(jié)合目錄遍歷漏洞讀取敏感文檔。3.偽協(xié)議：偽協(xié)議可以使用的話(huà)，可以嘗試讀取文檔或命令執(zhí)行。

獲取SSL證書(shū)
如果您計(jì)劃在Web服務(wù)器上傳輸任何敏感用戶(hù)數(shù)據(jù)，則必須使用安接字層(SSL)證書(shū)。SSL是一種在瀏覽器級(jí)別發(fā)生的加密協(xié)議，可確保所有傳入和傳出的Web請(qǐng)求都被外部人員屏蔽。作為所有者，您有責(zé)任從機(jī)構(gòu)獲取有效的SSL證書(shū)并使其保持新。使用您的域名配置后，用戶(hù)將在瀏覽器中看到URL旁邊的掛鎖符號(hào)，這是安全的通用指標(biāo)。
使用CDN加速
盡管近年來(lái)全球互聯(lián)網(wǎng)速度越來(lái)越快，連接不同地域時(shí)仍會(huì)遇到延遲，一種流行的解決方案是采用CDN加速。CDN提供商在不同區(qū)域維護(hù)一組服務(wù)器用于緩存內(nèi)容的某些部分，以提高加載速度并實(shí)現(xiàn)大規(guī)模流量的負(fù)載均衡，降低DDoS攻擊損害。

接下來(lái)還得檢測(cè)網(wǎng)站的各項(xiàng)功能以及APP功能是否存在邏輯漏洞，越權(quán)漏洞，水平垂直等等，我們SINE安全技術(shù)詳細(xì)的對(duì)每一個(gè)功能都測(cè)試很多遍，一次，兩次，多次的反復(fù)進(jìn)行，在用戶(hù)重置密碼功能這里發(fā)現(xiàn)有漏洞，正常功能代碼設(shè)計(jì)是這樣的流程，首先會(huì)判斷用戶(hù)的賬號(hào)是否存在，以及下一步用戶(hù)的是否與數(shù)據(jù)庫(kù)里的一致，這里簡(jiǎn)單地做了一下安全校驗(yàn)，但是在獲取驗(yàn)證碼的時(shí)候并沒(méi)有做安全校驗(yàn)，導(dǎo)致可以post數(shù)據(jù)包，將為任意來(lái)獲取驗(yàn)證碼，利用驗(yàn)證碼來(lái)重置密碼。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.cxftmy.com