文档介绍：网站安全渗透测试研究山东核电有限公司,吴佳静摘要:近年来,我国互联网安全面临的形势十分严峻、复杂,问题突出。在巴西会议上****主席首次提出信息主权,明确“信息主权不容侵犯”的互联网安全观。由此可见网站信息安全对于我们现在的生活尤为重要。通常网站是新闻发布的重要渠道,所以网站的安全具有较强的政治性,提高网站安全性至关重要。根据网站不断出现的安全问题,tos系统和oracle0数据库在网站系统中的使用,并在其上部署了nginx和WebSphere中间件。结合系统的独特性,本文对SQL注入和xxs漏洞这两种主要漏洞和网站安全渗透测试技术进行了研究。关键词:网站安全;渗透测试;SQL注入;XXS漏洞1网站安全现状《中国互联网站发展状况及其安全报告(2014年)》。报告指出,近年来,我国深受网络安全问题的困扰,网站安全问题形势严峻,受境外攻击、控制明显增多。国家互联网应急中心高级工程师何世平介绍,这些年来网页篡改、网站***、软件漏洞、类型攻击、网页仿冒等是对我国网络安全的主要威胁。在篡改问题上,2013年被篡改的中国网站数量为24034个,%;而政府网站作为被篡改的重要目标,2013年被篡改的数量为2430个,%。在植入***问题上,2013年76160个中国网站被植入网站***,其中政府网站有2425个。***攻击源主要来自境外IP,%,%,%,%。在网络钓鱼问题上,2013年发现仿冒中国网站的仿冒页面URL地址30199个,其中美国境内的IP地址承载了12573个针对中国网站的钓鱼页面,占比近42%。被仿冒居前列的包括媒体、银行、互联网社交等网站。工信部电信管理局副局长刘杰表示,一方面要提醒广大网民,在互联网上进行购物、交友、支付等行为时,一定要查询、了解网站备案情况,使用通过备案后的合法网站提供的服务。另外,电信管理局正积极指导将中国网站的基本信息应用集成到浏览器、搜索引擎、APP等互联网入口中,便利广大网民查询、了解网站基本信息,构建诚信网络空间。(rationtest)并没有一个标准的定义,国外一些安全组织达成共识的通用说法是:渗透测试是通过模拟恶意黑客的攻击方法,来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析,这个分析是从一个攻击者可能存在的位置来进行的,并且从这个位置有条件主动利用安全漏洞。。这些工具至少能够使整个过程实现部分自动化,这样,技术娴熟的专业人员就可以专注于所发现的问题。如果探查得更深入,则需要连接到任何可疑服务,某些情况下,还要利用漏洞。77商用***工具在实际应用中存在一个重要的问题:如果它所做的测试未能获得肯定答案,许多产品往往会隐藏测试结果。譬如,有一款知名扫描器就存在这样的缺点:要是它无法进入Cisco路由器,或者无法用SNMP获得其软件版本号,它就不会做出这样的警告:该路由器容易受到某些拒绝服务(DoS)攻击。如果不知道扫描器隐藏了某些信息(譬如它无法对某种漏洞进行测试),你可能误以为网络是安全的,而实际上,网络的安全状况可能是危险的。除了找到合适工具以及