网站安全检测点
1.检测指标：
1.2密码安全：
描述：判断密码是不是容易被盗取
操作：可以通过浏览器查看是否加密，并将加密作为独立请求进行测试验。 此外晓风后台的登陆没有手机验证码进行验证功能，我们目前系统增加了这块验证使得系统登陆更加安全。
1.3SQL注入检测
描述：检测Web网站是否存在SQL注入漏洞，如果存在该漏洞，***者对注入点进行注入***，可轻易获得网站的后台管理权限，甚至网站服务器的管理权限。
操作：下载acunetix webvulnerability scanner 进行扫描检测。
1.4上传漏洞
描述：检测Web网站的上传功能是否存在上传漏洞，如果存在此漏洞，***者可直接利用该漏洞上传***获得WebShell。
操作：检测前台是否有上传的地方，并且检查是否可以上传.asp，.exe甚至其他shell脚步文件
1.5 表单绕过：
描述：如何很多逻辑的验证或者计算只是在表单页面进行，那么***者可以通过绕过页面直接对后台进行数据提交
操作：开发人员需要检测页面的逻辑验证是否在后台都具备相应的操作，并养成好的开发习惯。
1.6 URL非法访问
描述：直接获取网站中某个URL地址，进行浏览器上的访问。
操作：直接拷贝几个带有参数的URL放入到浏览器上进行验证，系统开发上考虑一下是不是拦截有遗漏，特别是我们自己开发的部分以及用于测试的页面。
1.7敏感信息泄露
描述：系统的个人资料应该受到保护，有些系统通过id来查找相应用户资料。
操作：查看系统中是否存在通过id为参数的请求，并随便修改id的数字进行url请求
1.8 XSS跨站脚本。
描述：检测Web网站是否存在XSS跨站脚本漏洞，如果存在该漏洞，网站可能遭受Cookie欺骗、网页挂马等***。
操作：检测所有输入框是否可以输入html的标签，特别是脚步
1.9跨站点请求伪造
描述：跨站点请求伪造***通过强制已登录受害者的浏览器香目标网站发送预认证请求，然后强制受害者浏览器执行有利于***者的行为。
操作：在每个请求页面请求前，自动产生随机数加密串，后台进行解密进行验证。查看是否所有请求都符合这个规则。
1.10 Cookie 欺诈
Cookie欺骗的途径有：
跳过浏览器，直接对通讯数据改写
修改浏览器，让浏览器从本地可以读写任意域名Cookie
使用签名脚本，让浏览器从本地可以读写任意域名Cookie
欺骗浏览器，让浏览器获得假的域名
操作：给cookie加一个时间戳和ip进行加密，具体可以通过查看浏览器的cookie，看是否是加密串。
1.11隐藏目录泄露
描述：出错或者直接敲链接，网站显示出错误信息或者目录，应该用404 这些的错误页面来代替。
操作：检测系统是否测试生产环境，并且检测apache是否会显示目录问题，另外出错信息都用404等错误页面代替。
2. 外部网站检测
360网站的验证
http://webscan.360.cn/
3. 工具检测
http://www.cnblogs.com/lhb25/archive/2012/06/18/8-useful-and-free-web-application-security-testing-tools.html
阿里云系统自带的一些检测工具
