滲透測(cè)試是對(duì)網(wǎng)站和服務(wù)器的安全測(cè)試，通過(guò)模擬攻擊的手法，切近實(shí)戰(zhàn)，提前檢查網(wǎng)站的漏洞，然后進(jìn)行評(píng)估形成安全報(bào)告。這種安全測(cè)試也被成為黑箱測(cè)試，類似于的“實(shí)戰(zhàn)演習(xí)”，即沒有網(wǎng)站代碼和服務(wù)器權(quán)限的情況下，從公開訪問(wèn)的外部進(jìn)行安全滲透。 我們擁有國(guó)內(nèi)的滲透安全團(tuán)隊(duì)，從業(yè)信息安全十年，有著未公開的漏洞信息庫(kù)，大型社工庫(kù)，透過(guò)滲透測(cè)試找到網(wǎng)站和服務(wù)器的漏洞所在，從而確保網(wǎng)站的安全、服務(wù)器安全的穩(wěn)定運(yùn)行。
管理內(nèi)部人員威脅
很多公司都意識(shí)到，員工滿懷怨恨地離開或被競(jìng)爭(zhēng)對(duì)手招募時(shí)，就會(huì)產(chǎn)生內(nèi)部人威脅風(fēng)險(xiǎn)：他們可能會(huì)利用手中的網(wǎng)絡(luò)訪問(wèn)權(quán)加以，或?yàn)樾鹿椭饔杏脭?shù)據(jù)。撤銷該員工的訪問(wèn)憑證應(yīng)成為降低此類風(fēng)險(xiǎn)的首要?jiǎng)幼鳌?br/>不過(guò)，還有個(gè)不太明顯但同樣危險(xiǎn)的時(shí)刻，那就是新員工入職的時(shí)候。人力資源部門當(dāng)然會(huì)對(duì)員工履歷做盡職調(diào)查，但他們未必會(huì)注意到該員工的所有關(guān)系或動(dòng)機(jī)。業(yè)務(wù)風(fēng)險(xiǎn)情報(bào)可提供此類信息，防止惡意人員進(jìn)入公司。幾年前有家財(cái)富 500 強(qiáng)公司就遭遇了此類風(fēng)險(xiǎn)。當(dāng)時(shí)一名擬錄用的員工被發(fā)現(xiàn)與招募內(nèi)部人企業(yè)數(shù)據(jù)以作勒索的罪犯有聯(lián)系。一旦注意到該威脅，企業(yè)便可拒絕相關(guān)人士入職，并強(qiáng)化針對(duì)此類攻擊模式的安全防御。
新產(chǎn)品發(fā)布時(shí)也是公司的高風(fēng)險(xiǎn)期。知識(shí)產(chǎn)權(quán)代表著公司 80% 的價(jià)值，所以知識(shí)產(chǎn)權(quán)失可能招致災(zāi)難性后果。公司雇員自然擁有公司商業(yè)秘密和產(chǎn)品信息訪問(wèn)權(quán)，少數(shù)情況下，這種會(huì)誘人犯罪。但真要有員工起了壞心了公司知識(shí)產(chǎn)權(quán)，他們還需要找到的渠道，而這往往涉及 DDW 或其他買賣被盜資產(chǎn)的非法在線社區(qū)。
近的案例中，F(xiàn)lashpoint 分析師在某網(wǎng)絡(luò)犯罪論壇上看到某跨國(guó)科技公司尚未發(fā)布的軟件源代碼遭掛牌出售。分析確認(rèn)該源代碼泄露的源頭就是該公司一名雇員，而接到通告后，該公司得以終止與該流氓雇員的合約，并采取補(bǔ)救措施保護(hù)了那款產(chǎn)品。其中關(guān)鍵在于，若非網(wǎng)絡(luò)罪犯在 DDW 上為該來(lái)路不正的軟件打出售賣廣告，這名流氓雇員確實(shí)成功繞過(guò)了內(nèi)部檢測(cè)。在業(yè)務(wù)風(fēng)險(xiǎn)情報(bào)提供的上下文幫助下，很多雇員當(dāng)時(shí)看似無(wú)害的行為無(wú)疑可從另一個(gè)不同角度解讀。

在對(duì)網(wǎng)站程序代碼的安全檢測(cè)當(dāng)中，網(wǎng)站文檔任意查看漏洞在整個(gè)網(wǎng)站安全報(bào)告中屬于比較高危的網(wǎng)站漏洞，一般網(wǎng)站里都會(huì)含有這種漏洞，尤其平臺(tái)，商城，交互類的網(wǎng)站較多一些，像普通權(quán)限繞過(guò)漏洞，導(dǎo)致的就是可以查看到網(wǎng)站里的任何一個(gè)文檔，甚至可以查看到網(wǎng)站的配置文檔config等等。我們SINE安全公司在對(duì)gitea開源程序代碼進(jìn)行網(wǎng)站安全檢測(cè)的時(shí)候發(fā)現(xiàn)存在網(wǎng)站文檔任意查看漏洞，沒有授權(quán)的任意一個(gè)用戶的賬號(hào)都可以越權(quán)創(chuàng)建gitea的lfs對(duì)象，這個(gè)對(duì)象通俗來(lái)講就是可以利用gitea代碼里寫好的第三方api借口，進(jìn)行訪問(wèn)，可以實(shí)現(xiàn)如下功能：讀取文檔，上傳文檔，列目錄等等的一些讀寫分離操作。

業(yè)內(nèi)人士認(rèn)為，一方面，傳統(tǒng)網(wǎng)絡(luò)安全問(wèn)題得到有效控制，另一方面，云平臺(tái)、數(shù)據(jù)安全等新興領(lǐng)域的安全問(wèn)題不斷凸顯。

未修補(bǔ)漏洞
在應(yīng)用開發(fā)人員尚未發(fā)現(xiàn)新漏洞時(shí)，用戶仍然需要自行與查找，如果發(fā)現(xiàn)新的威脅，應(yīng)該及時(shí)進(jìn)行修復(fù)或通過(guò)防火墻阻止，禁用容易受到攻擊的功能與應(yīng)用，直到補(bǔ)丁修復(fù)完成。
問(wèn)題秒解決,嚴(yán)謹(jǐn),耐心細(xì)致.  重要一點(diǎn)是有緊急問(wèn)題能及時(shí)到位解決,  這點(diǎn)我很踏實(shí).  因?yàn)楹献?開始對(duì)其技術(shù)還持懷疑,  不太接受包年付費(fèi),  事后遠(yuǎn)遠(yuǎn)超出預(yù)期,  第二天就毅然確認(rèn)包年付費(fèi)了.
http://cabgv.cn