這周參加360的補(bǔ)天大會(huì)聽了一位滲透大佬的分享，感覺獲益匪淺。

一、常見問題

1、客戶系統(tǒng)，之前做過滲透測(cè)試，我們要怎么做？

深入了解客戶系統(tǒng)，一絲不茍發(fā)現(xiàn)系統(tǒng)深層次漏洞。

2、客戶系統(tǒng)，部署了防火墻，我們要怎么做？

可以繞過防火墻進(jìn)行測(cè)試，比如通過內(nèi)部wifi的手段等。客戶已有的安全防護(hù)，不一定安全，很容易被繞過。

3、客戶系統(tǒng)，采用Ukey登錄，還需要滲透嗎？

Ukey的安全性也需要驗(yàn)證，之前有ukey發(fā)送一個(gè)驗(yàn)證，然后這個(gè)驗(yàn)證可以重復(fù)使用的情況。

4、客戶系統(tǒng)，網(wǎng)絡(luò)協(xié)議是加密的，抓不到數(shù)據(jù)包，怎么辦？

嘗試一些破解的方式，對(duì)授權(quán)系統(tǒng)進(jìn)行滲透時(shí)，最好別對(duì)其他系統(tǒng)進(jìn)行測(cè)試

5、客戶系統(tǒng)，好像是靜態(tài)頁面，搞不進(jìn)去，怎么辦？

抓數(shù)據(jù)包，尋找有動(dòng)態(tài)交互的地方。

6、客戶系統(tǒng)，我們要不要上掃描器進(jìn)行掃描？

盡量不要用掃描器，降低對(duì)客戶系統(tǒng)的傷害，特別是敏感關(guān)鍵系統(tǒng)，也別內(nèi)網(wǎng)滲透。敏感系統(tǒng)進(jìn)行測(cè)試，最好申請(qǐng)搭建測(cè)試環(huán)境，或申請(qǐng)賬號(hào)。

7、客戶系統(tǒng)，滲透測(cè)試發(fā)現(xiàn)好像已經(jīng)入侵，怎么辦？

發(fā)現(xiàn)被入侵跡象，要及時(shí)通知客戶，并隨時(shí)準(zhǔn)備應(yīng)急響應(yīng)

二、知識(shí)積累

1、每次滲透測(cè)試項(xiàng)目，客戶系統(tǒng)都會(huì)是你成長(zhǎng)的老師

2、從滲透測(cè)試過程中了解自身的不足，然后用行動(dòng)去彌補(bǔ)不足之處

3、要善于和比自己強(qiáng)的人進(jìn)行溝通，交流、請(qǐng)教和學(xué)習(xí)

4、要不斷的擴(kuò)充自己的知識(shí)面，不斷地提升自己的應(yīng)對(duì)能力

5、遇事不要退縮，要有信心，堅(jiān)信自己可以完成每一項(xiàng)任務(wù)挑戰(zhàn)

6、知識(shí)論壇、圈子、雜志、周刊、漏洞平臺(tái)都可以給予你營(yíng)養(yǎng)

7、適當(dāng)參加一些網(wǎng)絡(luò)安全比賽，積累比賽經(jīng)驗(yàn)，培養(yǎng)良好素質(zhì)

三、關(guān)系處理

1、滲透之前要問清楚客戶需求，哪些底線或原則是不能觸碰的

2、滲透測(cè)試項(xiàng)目中要尊重客戶的選擇，如有特殊需求要向客戶提

3、滲透測(cè)試結(jié)束后，要及時(shí)跟客戶做一個(gè)簡(jiǎn)單工作匯報(bào)

4、工作中如遇到阻力或者客戶對(duì)工作不滿意，千萬別找理由，要及時(shí)跟領(lǐng)導(dǎo)匯報(bào)

5、碰到自己不擅長(zhǎng)的項(xiàng)目，在客戶面前要低調(diào)一點(diǎn)，要及時(shí)找同事幫助

6、認(rèn)清自己的角色，客戶提的需求，要向領(lǐng)導(dǎo)進(jìn)行匯報(bào)，請(qǐng)領(lǐng)導(dǎo)指示

7、滲透測(cè)試后獲取的敏感系統(tǒng)文檔。數(shù)據(jù)、要跟客戶表述會(huì)進(jìn)行刪除處理

四、攻防實(shí)戰(zhàn)

1、組建公司內(nèi)部的信息安全實(shí)驗(yàn)室、模擬驗(yàn)證最新網(wǎng)絡(luò)攻防實(shí)戰(zhàn)環(huán)境

2、對(duì)符合自身業(yè)務(wù)的漏洞進(jìn)行跟蹤，還原攻擊方式、利用成本和漏洞修復(fù)

3、攻防實(shí)戰(zhàn)從人與系統(tǒng)的對(duì)抗，上升至人與人之間的較量

4、建立完善的攻擊監(jiān)控系統(tǒng)，對(duì)內(nèi)外防御要做到有情能查，有情必究

5、紅藍(lán)雙方的攻防對(duì)抗，要逐步行程常態(tài)化攻防演練

6、從不明攻擊的角度去量化攻擊的存在，并行程攻擊處置方法

7、漏洞防御已經(jīng)變的防不勝防，做好安全管控已經(jīng)迫在眉睫

五、團(tuán)隊(duì)建設(shè)

1、向團(tuán)隊(duì)核心人物看齊，如果團(tuán)隊(duì)沒有核心，那團(tuán)隊(duì)就危險(xiǎn)了

2、善于與團(tuán)隊(duì)成員配合，取長(zhǎng)補(bǔ)短，共同進(jìn)步

3、梳理團(tuán)隊(duì)成員責(zé)任心，做人做事認(rèn)真、負(fù)責(zé)

4、合理劃分團(tuán)隊(duì)成員職責(zé)、人物，確保工作高效運(yùn)行

5、善于處理團(tuán)隊(duì)中產(chǎn)生的矛盾、分歧、以最小化影響進(jìn)行處理

6、積極為團(tuán)隊(duì)成員排憂解難，全身心投入工作

7、建立培訓(xùn)計(jì)劃，定期組織團(tuán)隊(duì)進(jìn)行內(nèi)部技能培訓(xùn)和分享，提升團(tuán)隊(duì)能力

六、職業(yè)規(guī)劃

1、自己心里要有計(jì)劃，但最好在五年之內(nèi)逐步提升自己的技術(shù)實(shí)力

2、如果對(duì)滲透測(cè)試沒有興趣了，要趁早選擇自己的第二職業(yè)，別耽誤事

3、合理時(shí)間范圍內(nèi)、可以適當(dāng)選擇跳槽，融入可以提升你自己的企業(yè)

4、要逐步從技術(shù)向管理轉(zhuǎn)變、學(xué)習(xí)管理方法，提高管理能力

5、要逐步擴(kuò)大自己的人際圈子，千萬不要束縛自己的交際范圍

6、想要?jiǎng)?chuàng)業(yè)的朋友，要了解公司管理和財(cái)務(wù)管理方面的知識(shí)，千萬別盲目創(chuàng)業(yè)

7、準(zhǔn)備研發(fā)產(chǎn)品的朋友，一定要注意你研發(fā)的產(chǎn)品，是否能解決用戶的痛點(diǎn)