檢測認證人脈交流通訊錄
這真不是您需要的服務?
1.安全測試工程師和黑客有什么區別?
回答者-瘋狂的男子:
安全測試工程師是在授權的情況下對客戶系統,進行黑盒或者白盒測試,并且是要盡可能多的發現問題,必須考慮全面徹底,而黑客的目的只有一個,就是找到一個口子(系統漏洞)進行擴大化,不要求找多的漏洞。所以相對而言,安全工程師要求較高,但現實是殘酷的,現在隨便搞安全的,都可以叫工程師了。
2.在軟件測試中如何做web安全測試?
添加補充,發現網站存在sql注入漏洞,但是如何證明注入漏洞?
對xss攻擊,如何進行攻擊?輸入篡改的方法?
使用工具掃描就不用說了!工具太多!
回答者—阿德瑪:
sql注入啥的證明很簡單,通過注入點搞到數據庫里的數據等,可以用sqlmap,也可以手注,或者自己寫注入利用腳本;xss一般就盲打看能不能收到cookie之類的;越權漏洞就是兩個賬號測試,看是否能刪除,修改,查看之類的。
3.如何做好日常安全測試工作?需要用到哪些工具?
回答者—jacksonren1987:
安全可能跟其他測試不是特別一樣,用我常說的就是“要知其然,還要知其所以然”,大部分開發人員可能并不了解一些安全漏洞,所以很多時候你提出的問題開發團隊無法給出很好的回復。這時候可能需要我們去“教”開發人員寫代碼。一個好的安全人員需要了解原理、熟悉測試手段、熟悉防范措施,然后按照合理的安全測試流程去工作。具體的流程可以參考我寫的這篇文章http://www.besttest.cn/的自學手冊中“安全測試自學路線”。
至于工具,手工測試我比較推薦burpsuite,輔助一些專用軟件 sqlmap,csrftester等
4.軟件安全測試架構組成部分以及如何實施的?
回答者—匿名用戶:
A:談安全測試架構,首先我們需要對測試架構這個概念有一個了解。這里的架構不僅僅指一個自動化或者半自動化測試框架,而包含了更多問題。在軟件測試活動中,一個測試架構師要解決什么問題?
例如:如何更好的指導開發工程師寫出更高效的代碼?如何用更快捷高效的辦法來設計測試用例?如何提高測試覆蓋率?如何完成復雜系統的非功能性(性能、安全性、兼容性、可靠性等)?能否對測試技術的發展趨勢做出正確判斷?等等一系列問題
測試架構就是為解決上述問題而產生的,安全測試架構也是如此。大體上看可以分為軟件系統技術架構和軟件測試框架兩部分。第一部分也就是包括需要對安全測試點進行合理的劃分、歸類,建立用例模型,設計合理的測試結構;從測試工作角度說,需要建立合適的測試管理系統;從技術發展趨勢上說,就包括研發新的測試方法,并借助測試工具來實現。
至于說軟件測試架構這一部分,其實也就是集成測試環境、測試腳本分層處理等,從安全測試角度來看,更多的是如何將安全測試套件與部分半自動化工具集成起來。這里我推薦的是以Burpsuite為核心,以sqlmap等半自動化開源測試工具的模式。現在網上論壇關于安全測試介紹相對較少,相對而言,Besttest網站上關于安全測試的內容,尤其是安全測試自學路線(超鏈)能給安全測試學習者很大的啟發。
5.軟件安全測試技術和軟件漏洞挖掘技術是相同的么?思路一樣么?
回復者-Stone Charles:
安全測試比滲透測試的范圍要更大些
例如安全合規性測試,也是一種安全測試,但與滲透測試無關。
專門針對安全功能和組件的測試,也是安全測試的一種,但也跟專門的滲透測試無關。
6.APP安全測試與普通B/S架構的滲透測試有什么區別呢?
回復者-知乎用戶:
b/s架構和app測試其實沒多大變化,app的漏洞可能還會在app上在重新在出現,
b/s偏向的更多的是傳統的web安全,而app,轉變成為移動安全,這里不僅僅談web安全,因為安全測試和滲透測試這2個概念其實并不相同,很容易混淆。
從傳統安全來講這2者區別:
安全測試:方向是查找系統脆弱點威脅建模,告訴你的系統存在哪些風險,而大多不會去關注漏洞的可利用性。
7.用appscan工具,如何較好的實現網站系統的安全性測試?
回答者—jacksonren1987:
appscan,webinspect這兩種工具的使用,其實我個人是并不推薦的,一來自動化審計所出現的bug漏報錯報比較嚴重,二來過于依賴自動審計工具,對于其提出的問題,你沒有原理的了解就沒辦法知道問題產生的原因;三來開發人員有時需要你去指導他們修復一些安全問題,使用自動審計工具你也沒辦法去了解防范手段等;四就是對于測試人員而言,自動審計對于自己的提高也是毫無裨益的
8.做標準的安全滲透測試方案,要學什么?
想畢業后做滲透測試的工作。確不知道具體要學那些,才能進入這種公司。
求人發一份詳細資料。
回答者-lxghost:
1.最重要的是知道滲透測試是需要授權的,請遵守法律。
2.標準是PTES: Penetration Testing Execution Standard
http://netsec.ccert.edu.cn/hacking/files/2011/07/PTES_MindMap_CN1.pdf
不過實際項目中沒那么標準,掃描器和手工各一半,關鍵是報告要寫得好。
3.學好基礎知識,知道一個網站是怎么建立和維護的,能看懂代碼。
少看別人的文章,不要只會模仿,自己多動手實踐,學會思考
服務區域:廣東省、廣州(天河、蘿崗開發區、黃埔開發區、南沙新區、番禺、花都、從化、增城、越秀、白云)、珠海市、中山市、江門市、佛山市、惠州市、東莞市、深圳市、肇慶市、云浮市、茂名市、湛江市、清遠市、韶關市、梅州市、汕頭市、潮州市、河源市、揭陽市、陽江市
全國各省、市、自治區:廣東省、海南省、福建省、湖南省、四川省、重慶市、貴州省、云南省、廣西壯族自治區、湖北省、河南省、山東省、河北省、陜西省、山西省、浙江省、江蘇省、遼寧省、黑龍江省、吉林省、上海市、天津市、北京市、甘肅省、西藏自治區、安徽省、青海省、寧夏回族自治區、內蒙古自治區、新疆維吾爾族自治區
WX:一三三+++++四二捌伍++++++二伍一捌
主要業務為軟件產品測試、電子產品檢測、安防產品檢測、軟件第三方驗收測試、科技項目驗收測試、信息系統第三方檢測、集成電路檢測、芯片檢測、IC檢測、雷電防護裝置檢測(建筑防雷裝置檢測、防雷定期檢測、防雷首次檢測)、通信網防御雷電安全保護檢測、移動通信基站防雷檢測、地理信息系統軟件測試、數字社區應用軟件測評、 建設領域軟硬件測評、軟件安全性測試、軟件驗收項目(安全、性能、驗收測試、滲透測試、漏洞掃描、***檢查、代碼審計、代碼檢測)、廣東省安全技術防范系統設計、施工、維修資格備案證業績檢測(安防工程檢測)、信息化項目技術績效評估(網站或系統績效評估)、政務信息化項目效能評估、信息系統安全等級保護備案證明、信息系統安全等保報告、網絡安全等保測評、信息系統安全等保測評、數字新基建項目第三方測試(5G建設、特高壓、城際高速鐵路和城市軌道交通、新能源汽車充電樁、大數據中心、人工能、工業互聯網)、廣東省守合同重企業、通用航空經營許可(即原來的:民用無人駕駛航空器經營許可、道路運輸經營許可、AOPA無人機多旋翼駕駛員培訓、無人機研發生產銷售、無人機合作辦學、無人機實訓室建設、信息系統建設和服務能力評估CS、信息系統服務交付能力評估CCID、計算機信息系統安全服務證、信息系統集成及服務資質、信息系統運維資質、音視頻系統集成資質、安防系統集成資質、音視頻集成工程企業能力等級證書、信息化能力評價、EDI/ICP安全防護檢測、廣東省安全技術防范系統設計、施工與維修證、廣東省有線廣播電視工程設計(安裝)證、廣東省防雷工程企業能力評價、軟件過程及能力成熟度評估CMMI、涉密信息系統集成資質、數據管理能力成熟度評估模型DCMM、信息技術服務運行維護標準ITSS、信息安全服務資質CCRC、科技成果評價、科技成果登記、科技成果登記合作(即掛名)、科學技術獎申請、專利合作申請(即掛名)、國家高新技術企業認證、雙軟認定、動漫企業認定、技術合同登記、知識產權服務、發明專利加急、集成電路布圖專有權登記、計算機軟件著作權登記、軟件檢測報告(軟件項目驗收鑒定報告)、工商注冊、代理記賬、創業補助申請等服務領域。VX;133-------4二捌五----2518
如有計劃辦的企業,可協助解決企業人員問題,可咨詢我們,v---x:133----四二捌五----2518


