企业的网站安全测试一直以来都是网络安全主管全权处理，检测部只做基本功能和智能化。可是2019是公司发展辉煌的1年，订单量愈来愈多了 ，网络安全主管确实做不过来。因此他给全部检测部学习培训《网站安全测试》，一是把活分出来，二是提高大家的安全防范意识和网站安全测试专业技能。可是只学了一节课，先分享知识要点给出网站安全测试的內容不断发布中。

文章正文：一、企业网站安全测试漏洞

暴力破解密码、上传文件、文档读取数据下載、SSRF、程序运行、指令实行逻辑性安全漏洞（数据信息遍历、越权、认证破解、额度窜改、良性竞争必要条件）传输层udp攻击安全漏洞人为因素安全漏洞：弱动态口令安全漏洞级别给出：比较严重立即获得至关重要网站服务器（pc客户端）管理权限的安全漏洞。包含但是不限于远程控制随意指令实行、提交webshell、可运用远程控制跨站脚本攻击、可运用的ActiveX数组越界、可运用360浏览器useafterfree安全漏洞、可运用远程控制浏览器内核程序运行安全漏洞及其其余因逻辑性难题造成的可运用的远程控制程序运行安全漏洞；立即造成比较严重的信息内容外泄安全漏洞。

包含但是不限于至关重要系统软件中可以获得很多信息内容的sql语句引入安全漏洞；能立即获得总体目标企业核心内容商业秘密的安全漏洞；高风险立即获得一般系统软件管理权限的安全漏洞。包含但是不限于远程连接命令实行、程序运行、提交webshell、跨站脚本攻击等；比较严重的数字逻辑缺点和步骤缺点。包含但是不限于随意账户密码更改、至关重要业务流程配备更改、外泄；可立即大批量窃取客户真实身份管理权限的安全漏洞。

包含但是不限于一般系统软件的sql语句引入、客户订单信息遍历；比较严重的管理权限破解类安全漏洞。包含但是不限于破解认证立即浏览后台管理系统、cookie欺骗。运维管理有关的未认证浏览安全漏洞。包含但是不限于后台管理管理人员弱动态口令、服务项目未认证浏览。中危必须在相应必要条件限定下，能获得网站服务器管理权限、企业网站管理权限与核心内容数据库查询数据信息的实际操作。

包含但是不限于互换式程序运行、相应必要条件下的引入、指定系统软件版本升级下的getshell等；随意文档实际操作安全漏洞。包含但是不限于随意文档写、删掉、下載，敏感性文档读取数据等实际操作；水准管理权限破解。包含但是不限于破解限定更改客户资料、实行客户实际操作。低危能够 获得某些数据信息，但不归属于核心内容数据信息的实际操作；在必要条件苛刻的环镜下能够 获得核心内容数据信息或是操纵核心内容业务流程的实际操作；必须客户互动才能够 引起的安全漏洞。包含但是不限于XSS安全漏洞、CSRF安全漏洞、鼠标点击被劫持；也可以找专业的网站安全公司对进行安全测试，国内SINE安全，深信服，鹰盾安全，绿盟，启明星辰都是比较有名的。

二、辅助软件理论知识：《企业网站网站安全测试》《www权威性手册》《TCP/lP详细说明卷1:协议》www(s)窃听软件：Fiddle2/4Burpsuite1/2Charlies……Postman别的輔助：传输层窃听：Wiresharkwebservice调试程序：SoapUIProAPI调试程序：ReadyAPISQL引入：Sqlmap三、公测安全漏洞网站安全测试的具体指导标准：全部的键入和輸出全部都是风险的。公测重中之重安全漏洞种类：（1）上传文件（webshell可post请求种类htmlhtmshtmltxt）（2）越权（无、垂直越权、垂直越权）（3）居民敏感性数据泄露（名字、身份证号码、lP、联系电话）（4）文件目录穿越随意压缩文件下载（5）储存型XSS跨站代码（6）安全防护对策无效（无安全防护、短信验证码，lP认证、登陆短信验证码等）（7）id登陆可遍历可预测分析，造成数据泄露，文档外泄。