好，第二個的話，就是咱們去做功能測試的話，你要知道你我們經常做的一些測試的策略有哪一些，然后你是從哪些角度去做這一些測試策略的比如說這些測試策略的話有咱們的功能測試，然后 UI 兼容性測試、穩定性測試，那這些東西你如何去做你是如何去實施的，你會從哪些角度去測試，這個也是做做咱們黑盒測試必須要掌握的一個。
其實從開發的角度，如果要保證代碼至少在邏輯方面沒有明顯的漏洞，還是有些繁瑣的。舉個簡單的例子，如網站的數據檢驗功能，不允許前端提交不符合當前要求規范的數據（比如年齡文本框部分不能提交字母）。那么為了實現這個功能，首先開發者肯定要在前端實現該功能，直接在前端阻止用戶提交不符規范的數據，否則用戶體驗會很差，且占用服務器端的資源。
但是沒有安全意識或覺得麻煩的開發者就會僅僅在前端用Js進行校驗，后端沒有重復進行校驗。這樣就很容易給惡意用戶機會：比如不通過前端頁面，直接向后端接口發送數據：或者，前端代碼編寫不規范，用戶可以直接在瀏覽器控制臺中用自己寫的Js代碼覆蓋原有的Js代碼；或者，用戶還可以直接在瀏覽器中禁用Js；等等。總之，前端的傳過來的數據可信度基本上可以認為比較低，太容易被利用了。
而我的思路都是很簡單的，就是關注比較重要的幾個節點，看看有沒有可乘之機。如登錄、權限判定、數據加載等前后，對方是怎么做的，用了什么樣的技術，有沒有留下很明顯的漏洞可以讓我利用。像這兩個網站，加載的Js文檔都沒有進行混淆，注釋也都留著，還寫得很詳細。比較湊巧的是，這兩個網站都用到了比較多的前端的技術，也都用到了sessionStorage。

我們SINE安全在進行Web滲透測試中網站漏洞利用率的前五個漏洞。常見漏洞包括注入漏洞、文件上傳漏洞、文件包含漏洞、命令執行漏洞、代碼執行漏洞、跨站點腳本(XSS)漏洞、SSRF漏洞、XML外部實體(XXE)漏洞、反序列化漏洞、解析漏洞等。，因為這些安全漏洞可能被利用，從而影響業務。以下每一條路線都是一種安全風險。可以通過一系列的攻擊手段發現目標的安全弱點。如果安全漏洞被成功利用，目標將被控制，威脅目標資產或正常功能的使用，終導致業務受到影響。

以盜幣為主要目的的攻擊并非個例，隨著以為代表的數字的盛行，世界各地的交易中心成為了攻擊的一個新目標，頻頻爆出遭遇的攻擊，用戶賬戶被盜、用戶數據泄露、損失慘重等事件。

云的簡化運維特性可以幫用戶降低這方面風險，但如果用戶在架構上并沒有針對性的做署，安全問題仍然很突出。相比而言，大部分大企業有的 IT 部門，配備的信息安全團隊，每年有信息安全方面的預算，有助于他們抵御網絡攻擊和修復漏洞。如此一來，當同樣受到網絡攻擊時，中小企業受到的影響顯然更加顯著。
SINE安全網站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復漏洞，對各項功能都進行了全面的安全檢測。
http://www.58seesohu.com