1.安全测试
渗透测试
渗透测试是取得了用户的授权的行为，而黑客的攻击是没有授权的。
完成渗透测试后，需要向用户提交测试结果的报告，黑客在攻击完成之后，会销毁攻击的痕迹。
2.渗透测试 VS 安全测试
区别：
渗透测试着重点在攻击，渗透测试的目的是攻破软件系统，以证明软件系统存在问题。
安全测试的着重点在防御，对整个系统的防御的功能进行一个系统的考虑。
渗透测试的目的是攻破系统，所以只要选择一些薄弱的环节，选择一些点来攻击系统，达到攻破系统的目的就可以了。
安全测试必须从整个的防御面上来考虑系统的安全性。
从难易程度上来说，因为安全测试要考虑的更多，所需要掌握的知识也更多，所以也更加地困难一些。
3.OWASP
Open Web Application Security Project：开放的web应用安全项目。这是针对web应用的著名的一个安全项目。
OWASP Top 10：每隔几年，OWASP会发布行业上具有威胁的安全漏洞，并且对其进行详细的说明分析。
OWASP2013 Top10：
注入漏洞，一般指SQL注入、脚本注入这样的漏洞。一般是攻击者通过页面的输入来进行巧妙的构造，来达到使系统执行不应该执行的SQL或脚本的功能，达到提高用户权限，从而访问不应该访问的数据的目的。
失效的身份认证和会话管理。比如会话劫持这样的漏洞，用户访问系统的时候，认证的凭据是外部可见的，易于被别人获取的，从而造成用户身份的暴露。
跨站脚本。攻击者通过恶意的手段，构造使用户的浏览器能够执行动态的内容，达到攻击的目的。
不安全的对象的直接引用。比如在URL中，包含了一些参数，比如ID=12345这样的一些参数，如果把参数直接修改为54321可能就能直接的变更页面访问的对象，或者获取其他用户的数据。如果这方面的保护不足，就会造成这样的漏洞。
安全配置错误。比如系统使用的框架、服务，很多框架服务都有默认的密码，对于黑客来说，默认密码都是已知的，如果这些东西不变更，访问时就可以直接使用。比如系统开放了不的端口、服务，这样的问题，都是安全配置类的错误。
敏感信息泄露：信息传递过程中，没有对关键信息进行加密，有可能造成信息的泄露。
功能级别的访问控制缺失：比如访问一个网站，能够在内部导航到一个用户没有权限到达的地方，这样的漏洞就属于访问控制的缺失。
跨站请求伪造：网站存在漏洞，攻击者通过外部的一个恶意的网站，在用户访问了一个正常网站的时候，再去访问这个恶意网站，则正常网站的相关凭据可能就会被恶意网站上的代码执行、获取到。
使用了已知的具有漏洞的组件：业界会有非常多的安全漏洞暴露出来，如果这些已知的安全漏洞我的系统也使用了相关的技术，那这些漏洞没有及时地更新，没有及时地打补丁，那这些漏洞就是存在的。如果没有及时地补救，容易造成系统被攻击。
未被验证的重定向和转发：网站如果具有重定向的功能，如果对重定向过来的请求，不对它进行校验，就很有可能被攻击者构造重定向，来转到一些钓鱼网站。
OWASP Testing Guide：是指引安全测试人员如何实施安全测试的一个测试指南。
当然，OWASP上还有其他一些安全项目，比如开源的安全工具，还有开发的指南。
安全测试作为比较**的一种测试类型，也有很多测试工具来提供测试支持。
4.安全测试工具：
Appscan：IBM的，针对web应用的漏洞扫描工具。
Webinspect：惠普的漏洞扫描工具，和Appscan功能上比较类似。
Nessus：非常著名的一款主要针对服务器主机类的漏洞检查工具。有免费版本。
Nmap：非常著名的端口嗅探的工具。通过扫描主机来看看开放了哪些端口，可以进行下一步的攻击。
metaSploit：非常著名的攻击框架，包含有大量的插件，可以对目标系统进行检测，还有渗透测试。
WebScarab：OWASP开源项目提供的一项工具，是基于代理劫持的分析，来进行工具路径的检测，功能很强大。
Fortify：和Webinspct是同一个公司的产品，主要是一个白盒的测试工具，是针对开发的源代码的静态的分析，静态分析出源码中可能存在的问题。
W3AF： 开源的安全漏洞扫描工具，也是主要针对web应用的。
服务区域：广东省、广州(天河、萝岗开发区、黄埔开发区、南沙新区、番禺、花都、从化、增城、越秀、白云）、珠海市、中山市、江门市、佛山市、惠州市、东莞市、深圳市、肇庆市、云浮市、茂名市、湛江市、清远市、韶关市、梅州市、汕头市、潮州市、河源市、揭阳市、阳江市
全国各省、市、自治区：广东省、海南省、福建省、湖南省、四川省、重庆市、贵州省、云南省、广西壮族自治区、湖北省、河南省、山东省、河北省、陕西省、山西省、浙江省、江苏省、辽宁省、黑龙江省、吉林省、上海市、天津市、北京市、甘肃省、西藏自治区、安徽省、青海省、宁夏回族自治区、内蒙古自治区、新疆维吾尔族自治区
WX:一三三+++++四二捌伍++++++二伍一捌
主要业务为软件产品测试、电子产品检测、安防产品检测、软件*三方验收测试、科技项目验收测试、信息系统*三方检测、集成电路检测、芯片检测、IC检测、雷电防护装置检测（建筑防雷装置检测、防雷定期检测、防雷检测）、通信网防御雷电安全保护检测、移动通信基站防雷检测、地理信息系统软件测试、数字社区应用软件测评、 建设领域软硬件测评、软件安全性测试、软件验收项目（安全、性能、验收测试、渗透测试、漏洞扫描、***检查、代码审计、代码检测）、广东省安全技术防范系统设计、施工、维修资格备案证业绩检测（安防工程检测）、信息化项目技术绩效评估(网站或系统绩效评估）、政务信息化项目效能评估、信息系统安全等级保护备案证明、信息系统安全等保报告、网络安全等保测评、信息系统安全等保测评、数字新基建项目*三方测试(5G建设、特高压、城际高速铁路和城市轨道交通、新能源汽车充电桩、大数据中心、人工能、工业互联网)、广东省守合同重企业、通用航空经营许可（即原来的：民用无人驾驶航空器经营许可、道路运输经营许可、AOPA无人机多旋翼驾驶员培训、无人机研发生产销售、无人机合作办学、无人机实训室建设、信息系统建设和服务能力评估CS、信息系统服务交付能力评估CCID、计算机信息系统安全服务证、信息系统集成及服务资质、信息系统运维资质、音视频系统集成资质、安防系统集成资质、音视频集成工程企业能力等级证书、信息化能力评价、EDI/ICP安全防护检测、广东省安全技术防范系统设计、施工与维修证、广东省有线广播电视工程设计（安装）证、广东省防雷工程企业能力评价、软件过程及能力成熟度评估CMMI、涉密信息系统集成资质、数据管理能力成熟度评估模型DCMM、信息技术服务运行维护标准ITSS、信息安全服务资质CCRC、科技成果评价、科技成果登记、科技成果登记合作（即挂名）、科学技术奖申请、专利合作申请（即挂名）、*高新技术企业认证、双软认定、动漫企业认定、技术合同登记、知识产权服务、发明专利加急、集成电路布图专有权登记、计算机软件著作权登记、软件检测报告（软件项目验收鉴定报告）、工商注册、代理记账、创业补助申请等服务领域。VX;133-------4二捌五----2518
如有计划办的企业，可协助解决企业人员问题，可咨询我们，v---x：133----四二捌五----2518