关于怎么找网站漏洞这个问题，现在基本可以分为两种情况。第一种是用自动化软件去扫描漏洞。很多网站安全公司都有自己的漏洞扫描软件，利用漏洞扫描软件就可以扫描和发现漏洞。但是软件毕竟是死的，所以扫描出来的漏洞也都是符合编程规则的漏洞，那些不在规则外的漏洞，有些甚至是高危漏洞，或一写逻辑功能越权等是无法被软件扫描出来的。所以就有了第二种方式。

第二种就是渗透测试，现在特别紧缺和热门的专业。渗透测试需要人工去寻找和发现漏洞，所以灵活性会更高。一般采用白盒或黑盒的方式去挖掘漏洞，基本都为未知的漏洞。采用刺探或扫描的方式去发现的，基本都为已知漏洞；如内存溢出、提权、web漏洞，这些通用型的漏洞，则采用针对性的黑白盒技巧去挖掘、逻辑类型漏洞，信息泄露漏洞就要揣测和发现程序员在实现业务逻辑中有可能忽略的细节并加以验证和利用。

更重要的是知识的积累加实战技术经验，针对网站程序的代码进行审计，对每一个函数的应用都分析的一清二楚，比如文件上传这里，检查上传的文件后缀是否被绕过导致被上传脚本木马，再看看文件包含漏洞，是否存在对附件包含显示，再一个就是对网站整体的功能比如逻辑权限绕过越权和信息泄露等着一方面的问题进行整理，那么想要修复网站漏洞该如何解决呢，首先要看下网站目前的整体功能，是否存在SQL注入或XSS跨站攻击之类的问题，一般都是POST参数里没有对变量进行预编译，比如变量A只允许输入数字，变量B只允许输入文字，否则不做预编译的话就会用特殊攻击符号和函数进行攻击，如果你实在对程序代码不熟悉的话可以向网站漏洞修复公司寻求服务，国内SINE安全，鹰盾安全，启明星辰，都是对于网站漏洞修复有着数十年的安全防护经验。