如何檢測網(wǎng)站服務(wù)器的漏洞？Web和應(yīng)用程序可以根據(jù)以下方案實現(xiàn)，這實際上是一個全面的安全審計。我只是列出內(nèi)容。詳細(xì)的測試工具和方法可以自己搜索。測試對象：服務(wù)器、servlet容器、數(shù)據(jù)庫、第三方服務(wù)

如何檢測網(wǎng)站服務(wù)器的漏洞？

Web和應(yīng)用程序可以根據(jù)以下方案實現(xiàn)，這實際上是一個全面的安全審計。我只是列出內(nèi)容。詳細(xì)的測試工具和方法可以自己搜索。測試對象：服務(wù)器、servlet容器、數(shù)據(jù)庫、第三方服務(wù)和接口、web應(yīng)用程序。應(yīng)用部署環(huán)境（服務(wù)器）：操作系統(tǒng)用戶名和密碼強(qiáng)度、操作系統(tǒng)用戶、用戶組和權(quán)限設(shè)置、系統(tǒng)漏洞和修補(bǔ)程序、系統(tǒng)端口安全應(yīng)用部署環(huán)境目錄和文件安全防火墻、網(wǎng)絡(luò)端口設(shè)置數(shù)據(jù)庫（主要測試授權(quán)，數(shù)據(jù)庫和數(shù)據(jù)庫環(huán)境安全的帳號、密碼等安全設(shè)置，等）：數(shù)據(jù)庫服務(wù)器版本和漏洞用戶名和密碼設(shè)置數(shù)據(jù)庫用戶權(quán)限設(shè)置和授權(quán)設(shè)置數(shù)據(jù)庫服務(wù)器端口和網(wǎng)絡(luò)連接設(shè)置（關(guān)閉公網(wǎng)訪問和不必要的端口）web應(yīng)用安全測試和工具：SQL注入表單漏洞cookie欺騙會話測試日志文件測試第三方接口服務(wù)安全測試跨站點腳本攻擊（zap）身份驗證和會話攻擊（hackbar）不安全對象直接引用攻擊（burp）CSRF（篡改）數(shù)據(jù)）安全配置錯誤（watobo）加密存儲不限制訪問者URL（Nikto/wikto）傳輸級安全風(fēng)險（甘汞）未驗證重定向和轉(zhuǎn)發(fā)（watcher）文件操作命令注入測試第三方服務(wù)接口和接口測試（如短信、電子郵件、支付、，APP）推送及其他服務(wù)）：系統(tǒng)/服務(wù)版本及漏洞安全配置測試數(shù)據(jù)傳輸安全測試數(shù)據(jù)合法性測試數(shù)據(jù)完整性測試APP接口安全：請參考APP接口安全測試要點：APP接口安全設(shè)計要點-程序員操作手冊-智虎專欄