甲方公司系统漏洞挖掘管理体系最佳实践探析，在阿里巴巴有这句方言叫路走正确了就不害

怕。依据甲白乙黑的系统漏洞挖掘核心理念的具体指导，为了更好地让大伙儿感受更刻骨铭心，

依据转发某些碰到的具体现象来回望下我们的实践活动全过程。

 

 

处理手工网站渗透测试缺点，认知运用更粗粒度安全性，许多甲方公司安全性队伍都是有手工网

站渗透测试的工作任务，有这是因为要减少扫描软件的漏掉，也是有要补位扫描软件的能力不足

，也是有接管新业务流程等状况。在初期接管新业务流程时，也期待迅速搞清楚总量业务流程风

险性，而依据手工和扫描软件的方法去做安全性摸排。从系统漏洞总数上看，实际效果是非常好

的，短期内挖掘了很多的系统漏洞，在其中不缺各种各样高风险比较严重系统漏洞。但从全过程

感受和延续性上看来，很不尽如人意。常见的现象包含3大类：测不全造成 的漏掉、检测工作效

率低、多次重复检测。

 

 

先说说多次重复检测的现象，分成两大类，一种是每一个同学们间业务流程业务流程关联性很大

难以彻底区划开，必定造成 相互之间检测到另一方的业务流程，这类状况还比较好，就作为dou

blecheck。此外一种状况是自个承担的业务流程自个测完，但这是因为沒有统计或统计方法的现

象造成 难以在末期系统维护好，进而多次重复测试接口现象。

 

 

检测工作效率低还可以分成好几个阶段看来，某一方面是目标信息收集的工作效率，依据资产把

握的水平，某些规范业务流程的网站域名、IP地址、服务器端口、服务、源代码等都很清楚，不

用耗费过多时长就了解目标大致状况，可通常有很多非标准运用这时依靠去跟相匹配业务流程方

沟通交流，牵涉到沟通交流工作效率就急剧下降。此外某一方面是网站渗透测试工作效率，须要

手动式的对每一个目标异常基本参数开展检测，工作效率是很低的，想一想每一个人的人力成本

依然很高的。

 

 

在手工网站渗透测试全过程中，这是因为人的参加必定造成 人的工作经验和情况都是直接影响

的结论，每一个渗透技术人员的检测的良好习惯、渗透的构思、看系统漏洞的深层都不太一样，

另外每一个人每日的情况也不太一样，很有可能昨日经常熬夜造成 今日情况不太好，也很有可

能这是因为家中的事儿造成 走神。此外某一方面是目标自身的多元性产生的漏掉，难以在短期

内了解透系统软件，开启到每一个业务逻辑，涵盖全部数据接口。