安全测试中，需要关注哪些测试点？

安全测试涵盖的范围很广，在某种程度上你需要有比性能测试、自动化测试等更为广泛的基础知识。在这里我简单给大家一个自学路线：

1. 掌握更多的软件基本知识。例如http协议、http状态码、数据库操作、中间件、服务器、linux、python等基础知识。

2. 学习了解安全漏洞的原理。各种注入、跨站、绕过等等黑客技术的原理和实现。

3. 学习安全漏洞的测试方法。基于原理，了解学习最简单有效的安全漏洞测试方法，可以结合使用部分半自动化工具等。

4. 了解安全漏洞的防范知识。安全人员要知其然，还要知其所以然，不仅要知道如何去测，还要知道如何去改。教开发码代码，这才是你应该到达的境界。

5. 学会监控。更多时候不管是面对一个系统，还是一个蜜罐，你都要用监控的方式来查看“脚本小子”们到底在用什么方式尝试攻击你的系统，从而采取最合理的方式去避免攻击。

上面的自学路线说的比较宽泛，你可以阅读安全测试自学路线(超链)来获取更详细的自学信息。当然除了自学外，也可以加入一些qq群等，与同行更多交流，互相学习。

如何检测网站是否存在安全漏洞

检测网站的安全漏洞方式分为两种：①使用安全软件进行网站安全漏洞检测、②使用渗透测试服务进行安全漏洞检测。

1、使用安全软件进行网站安全漏洞检测

使用检测网站安全漏洞我们可以选择安全软件进行，安全软件可以对我们的网站和服务器进行体验，找出我们服务器以及网站的漏洞并且可以根据安全漏洞进行修复。

2、使用渗透测试服务进行安全漏洞检测

渗透测试是利用模拟黑客攻击的方式，评估计算机网络系统安全性能的一种方法。这个过程是站在攻击者角度对系统的任何弱点、技术缺陷或漏洞进行主动分析，并且有条件地主动利用安全漏洞。

渗透测试并没有严格的分类方法，即使在软件开发生命周期中，也包含了渗透测试的环节，但是根据实际应用，普遍认为渗透测试分为黑盒测试、白盒测试、灰盒测试三类。

①黑箱测试又被称为所谓的Zero-Knowledge

Testing，渗透者完全处于对系统一无所知的状态，通常这类型测试，最初的信息获取来自于DNS、Web、Email及各种公开对外的服务器。

②白盒测试与黑箱测试恰恰相反，测试者可以通过正常渠道向被测单位取得各种资料，包括网络拓扑、员工资料甚至网站或其它程序的代码片段，也能够与单位的其它员工进行面对面的沟通。

③灰盒测试，白+黑就是灰色，灰盒测试是介于上述两种测试之间的一种方法，对目标系统有所一定的了解，还掌握了一定的信息，可是并不全面。渗透测试人员得持续性地搜集信息，并结合已知信息从中将漏洞找出。

但是不管采用哪种测试方法，渗透测试都具有以下特点：

(1)渗透测试是一个渐进的并且逐步深入的过程;

(2)渗透测试是选择不影响业务系统正常运行的攻击方法进行的测试。

什么是渗透测试啊？

渗透测试：在取得客户授权的情况下，通过模拟黑客攻击来对客户的整个信息系统进行全面的漏洞查找，分析、利用。最后给出完整的渗透报告和问题解决方案。

高级渗透测试服务（黑盒测试）：指在客户授权许可的情况下，资深安全专家将通过模拟黑客攻击的方式，在没有网站代码和服务器权限的情况下，对企业的在线平台进行全方位渗透入侵测试，来评估企业业务平台和服务器系统的安全性。

黑客入门基础知识有哪些？

黑客入门基础知识第一步要做的是掌握web前后端基础和服务器通讯原理，前后端包括h5，js，PHP，sql。单从技术上分黑客有专注web的web渗透测试黑客，有专注于挖掘软硬件漏洞的二进制黑客，有专注移动安全或无线安全的，例如手机端的黑客，还有喜欢破解软件的逆向破解型黑客。

黑客起源

黑客这个词源于上个世纪50年代的麻省理工，当时MIT的一帮聪明又精力充沛的年轻学生们，聚集在一起，思维的火花互相碰撞，有了共同想法的人组成了一个个兴趣小组。比如那个最著名Tech Model Railroad Cloub铁路技术俱乐部，大家在一起学习研究火车的构成，信号控制系统，自己动手组装模型，修改模型，一起研究做实验，把心中一个个idea付诸实现。

久而久之，大家把这些好玩，又有技术含量的idea叫hack。而这些俱乐部里的精英就自称hacker，这就是这个词的来源。而这些俱乐部也不负众望，不仅好玩，而且还玩出来了改变和影响当今世界的东西，Unix、互联网、开源软件，还有其他。