安然事務(wù)產(chǎn)生的最初階段，是“黑客”促使我們思慮安然縫隙的風(fēng)險–常常考慮的是直接風(fēng)險，一樣我們最初的解決編制當(dāng)然是“頭痛醫(yī)頭腳痛醫(yī)腳”。同時，良多人對黑客的行動感應(yīng)相當(dāng)好奇，***欲看油但是生，良多人研究黑客手藝常常就是因為好奇，實際傍邊有報復(fù)打擊能力常常成為衡量一小我手藝程度的“不成文共叫”。本人對這些現(xiàn)象不否定但不撐持也不同意，這類不雅念上的不合的本源常常在于每小我站的角度不合使然。
假定你的職責(zé)是守護一個產(chǎn)品，確保它可以供給安然的辦事給我們的客戶，我需要思慮甚么?先看一下，你同意以下不雅點嗎?
1. 你學(xué)著黑客一樣在測試環(huán)境往報復(fù)打擊我的產(chǎn)品，發(fā)現(xiàn)標(biāo)題問題當(dāng)即封住，這是我的首要職責(zé)
2. 你監(jiān)聽用戶行動，發(fā)現(xiàn)歹意行動，當(dāng)即堵住，同時找到歹意用戶的報復(fù)打擊點，找找標(biāo)題問題，假定有標(biāo)題問題，封住，這是我工作的首要構(gòu)成部門
3. 你的老板可能會覺得我發(fā)現(xiàn)的標(biāo)題問題越多，申明手藝越好越用功，對產(chǎn)品的安然性越有決定信念
4. 你擔(dān)憂當(dāng)某一天，我再也沒法發(fā)現(xiàn)產(chǎn)品的安然標(biāo)題問題了，是不是是我也就沒事兒了，輪到我下崗了
假定你同意或根基同意以上不雅點，我感覺你所保護的產(chǎn)品發(fā)安然性相當(dāng)危險，起碼你沒有足夠的來由對你的產(chǎn)品的安然性足夠的安心。
再看一下以下不雅點，你同意嗎?
1. 你研究黑客行動，目標(biāo)是掌控暗藏的安然縫隙的存在情勢，以查抄本公司產(chǎn)品是不是有近似標(biāo)題問題
2. 你研究各類常見縫隙，目標(biāo)是掌控縫隙的產(chǎn)生的本源，以便我系統(tǒng)的總結(jié)它的啟事，系統(tǒng)化的統(tǒng)一在產(chǎn)品傍邊解決它
3. 你盡力著試圖把各類縫隙的產(chǎn)生的根來歷根底因總結(jié)到一路，抽象出共性，以使其變陳規(guī)范，在產(chǎn)品開辟過程傍邊以便法度設(shè)計與實現(xiàn)人員只要遵循規(guī)范，便可避免諸多暗藏安然標(biāo)題問題標(biāo)呈現(xiàn)
4. 你研究滲入測試目標(biāo)不是用測試來發(fā)現(xiàn)所有的安然標(biāo)題問題，而是用來查抄我以上三條是不是需要完美
假定你同意或根基同意以上不雅點，起碼你所保護的產(chǎn)品的安然性是可控的，可懷抱的，心里是有底的，假定你敢大年夜膽的說你的產(chǎn)品足夠安然，那可性度是相當(dāng)高的。
最后，用一個例子來表白為甚么要淡化報復(fù)打擊過程實現(xiàn)：
若何發(fā)現(xiàn)XSS縫隙?我一句話就可以說清晰：用一串帶有Javascript敏感的字符串來竄改替代HTTP要求頭傍邊的參數(shù)值，不雅察HTTP響應(yīng)里是不是被返回，假定返回是不是被準(zhǔn)確編碼(叫轉(zhuǎn)義也行)的過程。
如斯說來，發(fā)現(xiàn)一個有XSS縫隙的API的XSS標(biāo)題問題對一個通俗的軟件測試人員也并不是難事兒。一個簡單的反射式XSS標(biāo)題問題，可能5分鐘便可以肯定，可是，我要夸大年夜一下這個“可是”，這個XSS縫隙若何反變成可操縱的可以實現(xiàn)報復(fù)打擊的縫隙，這個過程將多是1小時也多是一個月，還有多是1-2年!
對我，一個企業(yè)的產(chǎn)品安然保護者，解決如許的一個XSS標(biāo)題問題可能也只需要5-10分鐘，假定讓我花1小時到2年時候來證實它的操縱價值有多高，請問同業(yè)們，你感覺成心義嗎?
有一個群體的人會答復(fù)：成心義! 他們常常長短產(chǎn)品安然保護人員，多是黑客財產(chǎn)鏈中的人，也多是強烈的黑客手藝的好奇者……，假定不幸的有我們同業(yè)在里面，我會感覺很不是滋味，
我抱負中的同業(yè)們應(yīng)當(dāng)是如許的：
我有能力成為黑客，可是我不會把時候華侈在“當(dāng)黑客”這一行當(dāng)上。