這周參加360的補(bǔ)天大會聽了一位滲透大佬的分享，感覺獲益匪淺。

一、常見問題

1、客戶系統(tǒng)，之前做過滲透測試，我們要怎么做？

深入了解客戶系統(tǒng)，一絲不茍發(fā)現(xiàn)系統(tǒng)深層次漏洞。

2、客戶系統(tǒng)，部署了防火墻，我們要怎么做？

可以繞過防火墻進(jìn)行測試，比如通過內(nèi)部wifi的手段等?？蛻粢延械陌踩雷o(hù)，不一定安全，很容易被繞過。

3、客戶系統(tǒng)，采用Ukey登錄，還需要滲透嗎？

Ukey的安全性也需要驗證，之前有ukey發(fā)送一個驗證，然后這個驗證可以重復(fù)使用的情況。

4、客戶系統(tǒng)，網(wǎng)絡(luò)協(xié)議是加密的，抓不到數(shù)據(jù)包，怎么辦？

嘗試一些破解的方式，對授權(quán)系統(tǒng)進(jìn)行滲透時，最好別對其他系統(tǒng)進(jìn)行測試

5、客戶系統(tǒng)，好像是靜態(tài)頁面，搞不進(jìn)去，怎么辦？

抓數(shù)據(jù)包，尋找有動態(tài)交互的地方。

6、客戶系統(tǒng)，我們要不要上掃描器進(jìn)行掃描？

盡量不要用掃描器，降低對客戶系統(tǒng)的傷害，特別是敏感關(guān)鍵系統(tǒng)，也別內(nèi)網(wǎng)滲透。敏感系統(tǒng)進(jìn)行測試，最好申請搭建測試環(huán)境，或申請賬號。

7、客戶系統(tǒng)，滲透測試發(fā)現(xiàn)好像已經(jīng)入侵，怎么辦？

發(fā)現(xiàn)被入侵跡象，要及時通知客戶，并隨時準(zhǔn)備應(yīng)急響應(yīng)

二、知識積累

1、每次滲透測試項目，客戶系統(tǒng)都會是你成長的老師

2、從滲透測試過程中了解自身的不足，然后用行動去彌補(bǔ)不足之處

3、要善于和比自己強(qiáng)的人進(jìn)行溝通，交流、請教和學(xué)習(xí)

4、要不斷的擴(kuò)充自己的知識面，不斷地提升自己的應(yīng)對能力

5、遇事不要退縮，要有信心，堅信自己可以完成每一項任務(wù)挑戰(zhàn)

6、知識論壇、圈子、雜志、周刊、漏洞平臺都可以給予你營養(yǎng)

7、適當(dāng)參加一些網(wǎng)絡(luò)安全比賽，積累比賽經(jīng)驗，培養(yǎng)良好素質(zhì)

三、關(guān)系處理

1、滲透之前要問清楚客戶需求，哪些底線或原則是不能觸碰的

2、滲透測試項目中要尊重客戶的選擇，如有特殊需求要向客戶提

3、滲透測試結(jié)束后，要及時跟客戶做一個簡單工作匯報

4、工作中如遇到阻力或者客戶對工作不滿意，千萬別找理由，要及時跟領(lǐng)導(dǎo)匯報

5、碰到自己不擅長的項目，在客戶面前要低調(diào)一點，要及時找同事幫助

6、認(rèn)清自己的角色，客戶提的需求，要向領(lǐng)導(dǎo)進(jìn)行匯報，請領(lǐng)導(dǎo)指示

7、滲透測試后獲取的敏感系統(tǒng)文檔。數(shù)據(jù)、要跟客戶表述會進(jìn)行刪除處理

四、攻防實戰(zhàn)

1、組建公司內(nèi)部的信息安全實驗室、模擬驗證最新網(wǎng)絡(luò)攻防實戰(zhàn)環(huán)境

2、對符合自身業(yè)務(wù)的漏洞進(jìn)行跟蹤，還原攻擊方式、利用成本和漏洞修復(fù)

3、攻防實戰(zhàn)從人與系統(tǒng)的對抗，上升至人與人之間的較量

4、建立完善的攻擊監(jiān)控系統(tǒng)，對內(nèi)外防御要做到有情能查，有情必究

5、紅藍(lán)雙方的攻防對抗，要逐步行程常態(tài)化攻防演練

6、從不明攻擊的角度去量化攻擊的存在，并行程攻擊處置方法

7、漏洞防御已經(jīng)變的防不勝防，做好安全管控已經(jīng)迫在眉睫

五、團(tuán)隊建設(shè)

1、向團(tuán)隊核心人物看齊，如果團(tuán)隊沒有核心，那團(tuán)隊就危險了

2、善于與團(tuán)隊成員配合，取長補(bǔ)短，共同進(jìn)步

3、梳理團(tuán)隊成員責(zé)任心，做人做事認(rèn)真、負(fù)責(zé)

4、合理劃分團(tuán)隊成員職責(zé)、人物，確保工作高效運行

5、善于處理團(tuán)隊中產(chǎn)生的矛盾、分歧、以最小化影響進(jìn)行處理

6、積極為團(tuán)隊成員排憂解難，全身心投入工作

7、建立培訓(xùn)計劃，定期組織團(tuán)隊進(jìn)行內(nèi)部技能培訓(xùn)和分享，提升團(tuán)隊能力

六、職業(yè)規(guī)劃

1、自己心里要有計劃，但最好在五年之內(nèi)逐步提升自己的技術(shù)實力

2、如果對滲透測試沒有興趣了，要趁早選擇自己的第二職業(yè)，別耽誤事

3、合理時間范圍內(nèi)、可以適當(dāng)選擇跳槽，融入可以提升你自己的企業(yè)

4、要逐步從技術(shù)向管理轉(zhuǎn)變、學(xué)習(xí)管理方法，提高管理能力

5、要逐步擴(kuò)大自己的人際圈子，千萬不要束縛自己的交際范圍

6、想要創(chuàng)業(yè)的朋友，要了解公司管理和財務(wù)管理方面的知識，千萬別盲目創(chuàng)業(yè)

7、準(zhǔn)備研發(fā)產(chǎn)品的朋友，一定要注意你研發(fā)的產(chǎn)品，是否能解決用戶的痛點