好，第三個的話就是對白盒測試，那么非常重要的一點就是你要知道如何去設(shè)計用例，如何去設(shè)計用例 好，設(shè)計用例的話，其實就是也就是你測試這個軟件的一個非常重要的邏輯思維這個東西。 因此就是說并不是說每個人都能夠隨隨便便去做一做一個很好的黑盒測試的工程師。
大多數(shù)開發(fā)人員沒有安全意識，其中軟件開發(fā)公司更嚴(yán)重。他們專注于實現(xiàn)客戶的需求，不考慮現(xiàn)在的代碼是否有安全上的危險。在生產(chǎn)軟件的同時，也生產(chǎn)脆弱性，沒有任何軟件是的，沒有脆弱性。因此，建議網(wǎng)絡(luò)安全技術(shù)人員對代碼進(jìn)行安全審計，挖掘漏洞，避免風(fēng)險。無論是大型軟件還是小型軟件，安全穩(wěn)定都是APP運營的標(biāo)準(zhǔn)。否則，即使是更好的商業(yè)模式也無法忍受網(wǎng)絡(luò)攻擊的推敲。大型軟件受到競爭對手和黑產(chǎn)組織的威脅，小型軟件通過掃描式隨機攻擊侵入服務(wù)器，稍有疏忽的平臺被利用。

我們SINE安全在進(jìn)行Web滲透測試中網(wǎng)站漏洞利用率的前五個漏洞。常見漏洞包括注入漏洞、文件上傳漏洞、文件包含漏洞、命令執(zhí)行漏洞、代碼執(zhí)行漏洞、跨站點腳本(XSS)漏洞、SSRF漏洞、XML外部實體(XXE)漏洞、反序列化漏洞、解析漏洞等。，因為這些安全漏洞可能被利用，從而影響業(yè)務(wù)。以下每一條路線都是一種安全風(fēng)險。可以通過一系列的攻擊手段發(fā)現(xiàn)目標(biāo)的安全弱點。如果安全漏洞被成功利用，目標(biāo)將被控制，威脅目標(biāo)資產(chǎn)或正常功能的使用，終導(dǎo)致業(yè)務(wù)受到影響。

云的簡化運維特性可以幫用戶降低這方面風(fēng)險，但如果用戶在架構(gòu)上并沒有針對性的做署，安全問題仍然很突出。相比而言，大部分大企業(yè)有的 IT 部門，配備的信息安全團隊，每年有信息安全方面的預(yù)算，有助于他們抵御網(wǎng)絡(luò)攻擊和修復(fù)漏洞。如此一來，當(dāng)同樣受到網(wǎng)絡(luò)攻擊時，中小企業(yè)受到的影響顯然更加顯著。

討論回顧完上次整改的問題之后，理清了思路。然后我登錄了網(wǎng)站查看一下原因，因為網(wǎng)站只有一個上傳圖片的地方，我進(jìn)行抓包嘗試，使用了repeater重放包之后，發(fā)現(xiàn)返回包確實沒有返回文檔上傳路徑，然后我又嘗試了各種繞過，結(jié)果都不行。后苦思冥想得不到結(jié)果，然后去問一下這個云平臺給他們提供的這個告警是什么原因?？戳嗽破脚_反饋的結(jié)果里面查殺到有圖片碼，這個問題不大，上傳文檔沒有執(zhí)行權(quán)限，而且沒有返回文檔路徑，還對文檔名做了隨機更改，但是為啥會有這個jsp上傳成功了，這讓我百思不得其解。
當(dāng)我仔細(xì)云平臺提供的發(fā)現(xiàn)webshel數(shù)據(jù)的時候，我細(xì)心的觀察到了文檔名使用了base編碼，這個我很疑惑，都做了隨機函數(shù)了還做編碼干嘛，上次測試的時候是沒有做編碼的。我突然想到了問題關(guān)鍵，然后使用burpsuite的decoder模塊，將文檔名“1jsp”做了base編碼成“MS5Kc1A=”，然后發(fā)送成功反饋狀態(tài)碼200，再不是這個上傳失敗反饋500狀態(tài)碼報錯了。
所以，這個問題所在是，在整改過程中研發(fā)人員對這個文檔名使用了base編碼，導(dǎo)致文檔名在存儲過程中會使用base解析，而我上傳文檔的時候?qū)⑦@個后綴名.jsp也做了這個base編碼，在存儲過程中.jsp也被成功解析，研發(fā)沒有對解析之后進(jìn)行白名單限制。其實這種編碼的更改是不必要的，畢竟原來已經(jīng)做了隨機數(shù)更改了文檔名了，再做編碼有點畫蛇添足了，這就是為啥程序bug改一個引發(fā)更多的bug原因。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對各項功能都進(jìn)行了全面的安全檢測。
http://www.cxftmy.com