web網站想做安全測試，找漏洞。該怎麼辦，到哪裡找人做呢？

01-18

沒頭緒中。望指點。

Web和APP應用，可以按照下面的方案進行，這個方案其實算一個全方位的安全審計。我只是把目錄列了出來，詳細的測試工具和方法可以自行搜索。

測試對象：伺服器、Servlet容器、資料庫、第三方服務及介面、Web應用程序。

應用程序部署環境（伺服器）：

操作系統用戶名及密碼強度
操作系統用戶、用戶組及許可權設置
系統漏洞及補丁
系統埠安全
應用部署環境目錄及文件安全
防火牆及網路埠設置

資料庫（主要對資料庫的授權、賬戶、口令等安全設置及資料庫環境安全等進行測試）：

資料庫伺服器版本及漏洞
用戶名、密碼設置
資料庫用戶許可權設置及授權設置
資料庫伺服器埠及網路連接設置（關閉公網訪問及不必要的埠）

Web應用安全測試及工具：

SQL注入（SQL Inject Me）
表單漏洞
Cookie欺騙
Session測試
日誌文件測試
第三方介面服務安全測試
跨站腳本攻擊（ZAP）
認證及會話攻擊（Hackbar）
不安全對象直接引用攻擊(Burp)
CSRF(Tamper Data)
安全配置錯誤（Watobo）
加密存儲
不限制訪問者URL(Nikto/Wikto)
傳輸層面安全隱患（Calomel）
未經驗證的重定向及轉發（Watcher）
文件操作
命令注入測試

第三方服務介面及介面測試（例如簡訊、郵件、支付、APP Push等服務）：

系統/服務版本及漏洞

安全性配置測試

數據傳輸安全性測試

數據合法性測試

數據完整性測試

APP介面安全：

請參考APP介面安全測試要點：APP介面安全設計要點 - 程序員作戰手冊 - 知乎專欄

去黑客論壇發個叫囂的帖子附上網站地址

放阿里雲伺服器自動幫你掃描？

烏雲

WooYun.org | 自由平等開放的漏洞報告平台

Web漏洞掃描通常採用兩種策略，第一種是被動式策略，第二種是主動式策略。

所謂被動式策略就是基於主機之上，對系統中不合適的設置、脆弱的口令，開放出去的埠，以及其他與安全規則抵觸的對象進行檢查;

而主動式策略是基於網路的，它通過執行一些腳本文件模擬對系統進行攻擊的行為並記錄系統的反應，從而發現其中的漏洞。

利用被動式策略的掃描稱為系統安全掃描，利用主動式的策略掃描稱為網路安全掃描。

樓主說的，應該就是尋找一種系統安全掃描方案，也就是利用被動式策略對web站點進行安全測試。

想自己做的話，目前傳統上漏洞掃描工具有好多，例如nmap，WebCruiser ，sqlmap，burpsuite，metasploit等，metasploit是滲透測試框架，用的人很多，還有kali linux，集成了好多漏洞檢測工具和框架，但這些都需要你去學習，了解而且有一定的安全技術功底。

外包出去的話，能保證質量和效率，並能夠享受更多的服務，畢竟術業有專攻。

最近UCloud - 專業雲計算服務商對外公開了一款WEB漏洞掃描工具UWS（詳情移步：https://docs.ucloud.cn/security/uws/index），UWS採用被動式架構，可以在站點上線前對其進行漏洞掃描，以及後期的持續掃描，漏洞檢測不是一次性工作，需要企業不斷花很大的精力和時間去進行。UWS服務有幾個優勢：24小時，每日複查，掃描結果直觀顯示，更好的掃描效果。

在一個業務的生命周期，上線前的測試和漏洞檢測是安全測試團隊重要的戰場，歷來為兵家必爭之地，所以就成就了這麼多工具和掃描服務。選擇一個好的服務或者熟悉一個好的工具可以幫助業務更健康地發展。

不太好回答……主要是描述的細節不清楚。

比如什麼性質的網站，規模多大，是套用了模板，還是另行開發，是否純web應用，還有其他服務。更關注網站的機密性還是可用性，伺服器獨立的還是共享的，維護人員什麼水平等等。

根據不同的條件，從免費速成自學到上萬的安全檢測都有……不同的解決方案有各自優缺點，你作為客戶，我連需求都不知道怎麼推薦方案。

不方便透露的話就私信我。我好像在做生意啊……

明明一個關於在哪裡招人，排名第一的竟然是測試細分的回答，無惡意！

Web網站想做安全測試，應該涉及到Web客戶端、服務端、APP及一些與Web網站或集群相關的常規基礎設施（如DNS）的黑盒與白盒測試。主要是為了找出技術類、業務邏輯、人為配置等的缺陷與漏洞。

一、安全眾測平台：

1、SOBUG眾測平台

2、漏洞盒子 | 互聯網安全測試平台

3、威客安全 | 信息安全行業一站式服務平台

4、補天 - 企業和白帽子共贏的漏洞響應平台

5、雲盾先知（安全情報）

優點是測試人員多，測試效率高，缺點不做評價，避免被噴，現在比較流行的是按效果付費。

二、乙方安全公司：

一般可以提供Web黑盒測試，基本是按照資產進行價格評估，還需要考慮是進行資產遠程測試還是內部系統測試（有些業務系統不適宜對互聯網開放）。

白盒審計的話，一般按照代碼量評估，分為單次服務或者年度服務（可以為客戶提供有限次數的代碼審計服務），持續跟進Web系統安全

百度搜索安全公司，會有很多，不過名氣大一些的安全公司服務價格比較高。這是朋友公司前段時間為其他公司做的一個報價表，可以參考。

不清楚的可以私聊，避免被噴！執筆難免有疏忽部分。

白帽匯

漏洞盒子 https://www.vulbox.com 幫助你發現產品中存在的安全問題

我男朋友做

web安全，處於學習階段，小有所成，可以幫忙免費測試

http://humoo.com

花錢找安全公司唄

自學！相當黑客不是那麼容易的

專註安全，專業服務。

求聯繫

1、如果自己有的話，自己的測試團隊應該就可以完成吧。

2、如果要求不是高，對於開發人員來說其實可以自己試著搞。

3、外包出去，省心。

1、自己搞，需要一點技術；

2、找別人，真心想做安全，找專業的安全公司