旁观渗透测试

系统在终验前，需要做渗透测试。因为系统在内网，所以安全性方面，一直都没重视过，这次测试前没做什么准备，只是原样在内网另布了一套，连数据也没拷过来一份。我问项目经理苏林，这次都测那些方面啊，因为我平时负责一些报表模块，有文件上传功能没做什么限制，怕被测出漏洞，他说不知道，我也就没在意。

集团科研院派了两个MM过来，一个是经验者，另一个跟着学。用几种测试工具测了半天，测出一些问题，后来说没有数据，有的模块会测不到，又把生产的数据拷了过来。这一下测了一天，查出问题就多了。苏林一看慌了，说测试报告出来，要是让信息中心的领导看到，不得骂死。又经过半天的手工验证，出了一个大致的问题列表，多项都是高危级别，最多的是sql注入、反弹式的跨站、钓鱼。我所担心的报表模块，因为帆软在测试环境上没配授权，所以并没有测到，开始整改，几乎所有sql都有问题。都修正完之后，又请MM来测了一遍，不过最终，这次改过的版本，也没敢上生产环境，因为改动实在太多了，谁也不敢担保没改出其他bug来。大家心里都觉得sql注入是小问题，不过网上说，正因为sql注入容易实施，所以才会是高危漏洞。以前以为，注入漏洞已经不常见了，实际上还是普遍存在的。旁观了一次渗透测试，才知道很有用。另一个在建的项目，了解我们这次被测到的漏洞，一边开发一边就把这些问题都改了，等到验收做渗透的时候，报告一定很好看。

过了几个月，测试报表也没有做好发过来