關(guān)于黑盒測(cè)試中的業(yè)務(wù)功能安全測(cè)試，個(gè)如果說(shuō)你是去做那種性比較強(qiáng)的這一種業(yè)務(wù)，比如說(shuō)咱們的這一個(gè)銀行類的金融類的這些業(yè)務(wù)，那么它可能個(gè)要求就是你要有這個(gè)什么業(yè)務(wù)能力。 因?yàn)橛袝r(shí)候一些復(fù)雜的業(yè)務(wù)的話，并不是說(shuō)如果說(shuō)以前你沒(méi)做的話，他可能就光這個(gè)業(yè)務(wù)的培訓(xùn)那就要給你來(lái)個(gè)三個(gè)月或甚至半年的一個(gè)時(shí)間，因此說(shuō)對(duì)于這一種業(yè)務(wù)能力要求比較高的這種項(xiàng)目或者企業(yè)里面去招人的話，他個(gè)看中或者說(shuō)他有一個(gè)硬性的要求，就是說(shuō)你有沒(méi)有做過(guò)相關(guān)的這一些產(chǎn)品，如果做過(guò)的話，這一類人員他是優(yōu)先的。
在對(duì)前端輸入過(guò)來(lái)的值進(jìn)行安全判斷，確認(rèn)變量值是否存在，如果存在將不會(huì)覆蓋，杜絕變量覆蓋導(dǎo)致?lián)饺霅阂鈽?gòu)造的sql注入語(yǔ)句代碼在GET請(qǐng)求，以及POST請(qǐng)求里，過(guò)濾非法字符的輸入。 '分號(hào)過(guò)濾 --過(guò)濾 %20字符過(guò)濾，單引號(hào)過(guò)濾，%百分號(hào)， and過(guò)濾，tab鍵值等的的安全過(guò)濾。如果對(duì)代碼不是太懂的話，也可以找網(wǎng)站安全公司來(lái)處理，國(guó)內(nèi)SINESAFE,啟明星辰，綠盟都是比較的。邏輯漏洞的修復(fù)辦法，對(duì)密碼找回功能頁(yè)面進(jìn)行安全校驗(yàn)，檢查所屬賬號(hào)的身份是否是當(dāng)前的，如果不是不能發(fā)送驗(yàn)證碼，其實(shí)就是代碼功能的邏輯設(shè)計(jì)出了問(wèn)題，邏輯理順清楚了，就很容易的修復(fù)漏洞，也希望我們SINE安全分享的這次滲透測(cè)試過(guò)程能讓更多的人了解滲透測(cè)試，安全防患于未然。

現(xiàn)在移動(dòng)互聯(lián)網(wǎng)的應(yīng)用復(fù)蓋了整個(gè)行業(yè)，其中也有很多投機(jī)家，他們的開(kāi)發(fā)經(jīng)費(fèi)不夠，想以的成本運(yùn)營(yíng)市場(chǎng)上的起爆產(chǎn)品，所以開(kāi)始了APP解讀的想法。他們雇用，反譯APP，修改重要代碼和服務(wù)器的連接方式，重新包裝，簽字，生成與原創(chuàng)相同的應(yīng)用。然后向一些不正當(dāng)?shù)那拦贾\取利益。此外，還有一些黑色組織在應(yīng)用程序后添加惡意代碼，如獲取相冊(cè)數(shù)據(jù)、獲取地址簿和短信數(shù)據(jù)，以及技術(shù)銀行賬戶等敏感信息。解決方案:APP的標(biāo)志是簽名，開(kāi)發(fā)團(tuán)隊(duì)和開(kāi)發(fā)公司可以追加防止二次包裝的相關(guān)代碼，可以預(yù)防一些小毛賊。目前，國(guó)內(nèi)主流軟件分發(fā)平臺(tái)也對(duì)APP進(jìn)行了識(shí)別，但由于疏忽，APP、木馬式APP蔓延開(kāi)來(lái)。如果想以更的方式解讀APP的話，建議咨詢網(wǎng)站安全公司，加強(qiáng)APP本身的安全性，大幅度增加了編譯、調(diào)整和二次包裝的難易度。

下面開(kāi)始我們的整個(gè)滲透測(cè)試過(guò)程，首先客戶授權(quán)我們進(jìn)行網(wǎng)站安全測(cè)試，我們才能放開(kāi)手的去干，首先檢測(cè)的是網(wǎng)站是否存在SQL注入漏洞，我們SINE安全在檢測(cè)網(wǎng)站是否有sql注入的時(shí)候都會(huì)配合查看mysql數(shù)據(jù)庫(kù)的日志來(lái)查詢我們提交的SQL語(yǔ)句是否成功的執(zhí)行，那么很多人會(huì)問(wèn)該如何開(kāi)啟數(shù)據(jù)庫(kù)的日志，如何查看呢？首先連接linux服務(wù)器的SSH端口，利用root的賬號(hào)密碼進(jìn)服務(wù)器，打開(kāi)mysql的配置文件mysqld.cnf編輯general_log_file=（log日志的），general_log=1，在服務(wù)器里輸入tail -f （log），來(lái)查看實(shí)時(shí)的數(shù)據(jù)庫(kù)語(yǔ)句執(zhí)行日志。當(dāng)我們SINE安全技術(shù)在測(cè)試SQL注入漏洞的時(shí)候，就會(huì)實(shí)時(shí)的看到是否有惡意的SQL語(yǔ)句執(zhí)行成功，如果有那么數(shù)據(jù)庫(kù)日志就會(huì)出現(xiàn)錯(cuò)誤提示，在滲透測(cè)試中是很方便的，也更利于查找漏洞。

其實(shí)從開(kāi)發(fā)的角度，如果要保證代碼至少在邏輯方面沒(méi)有明顯的漏洞，還是有些繁瑣的。舉個(gè)簡(jiǎn)單的例子，如網(wǎng)站的數(shù)據(jù)檢驗(yàn)功能，不允許前端提交不符合當(dāng)前要求規(guī)范的數(shù)據(jù)（比如年齡文本框部分不能提交字母）。那么為了實(shí)現(xiàn)這個(gè)功能，首先開(kāi)發(fā)者肯定要在前端實(shí)現(xiàn)該功能，直接在前端阻止用戶提交不符規(guī)范的數(shù)據(jù)，否則用戶體驗(yàn)會(huì)很差，且占用服務(wù)器端的資源。
但是沒(méi)有安全意識(shí)或覺(jué)得麻煩的開(kāi)發(fā)者就會(huì)僅僅在前端用Js進(jìn)行校驗(yàn)，后端沒(méi)有重復(fù)進(jìn)行校驗(yàn)。這樣就很容易給惡意用戶機(jī)會(huì)：比如不通過(guò)前端頁(yè)面，直接向后端接口發(fā)送數(shù)據(jù)：或者，前端代碼編寫(xiě)不規(guī)范，用戶可以直接在瀏覽器控制臺(tái)中用自己寫(xiě)的Js代碼覆蓋原有的Js代碼；或者，用戶還可以直接在瀏覽器中禁用Js；等等?？傊?，前端的傳過(guò)來(lái)的數(shù)據(jù)可信度基本上可以認(rèn)為比較低，太容易被利用了。
而我的思路都是很簡(jiǎn)單的，就是關(guān)注比較重要的幾個(gè)節(jié)點(diǎn)，看看有沒(méi)有可乘之機(jī)。如登錄、權(quán)限判定、數(shù)據(jù)加載等前后，對(duì)方是怎么做的，用了什么樣的技術(shù)，有沒(méi)有留下很明顯的漏洞可以讓我利用。像這兩個(gè)網(wǎng)站，加載的Js文檔都沒(méi)有進(jìn)行混淆，注釋也都留著，還寫(xiě)得很詳細(xì)。比較湊巧的是，這兩個(gè)網(wǎng)站都用到了比較多的前端的技術(shù)，也都用到了sessionStorage。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://www.cxftmy.com