① 如何測試伺服器
伺服器測試方法
伺服器測試方法分為兩個大方面，性能測試與功能測試。
我們在性能測試方面採用了新的測試方法，主要分為文件測試、資料庫性能測試與
Web
性能測試三個
方面。其中，文件性能與資料庫性能採用美國
Quest
軟體公司的
Benchmark Factory
負載測試和容量規劃
軟體，
Web
性能測試則使用了
Spirent
公司提供的
Caw WebAvalanche
測試儀。
一、性能測試
1
、文件性能測試方法
Benchmark Factory
軟體能按照文件讀寫的關鍵指標定製事務。軟體最大支持
1000
個虛擬客戶。
本次測試環境包括
10
台配置為
PIII800/128MB
內存
/20G
硬碟以上的客戶端，它們用來模擬虛擬用戶。
控制台為配置是
PIII 850/128MB
內存
/40G
硬碟的
Acer
筆記本電腦。交換機為帶有兩個千兆
GBIC
介面、
24
個
10/100M
自適應埠的
Cisco 2950
，客戶端與控制台通過
100M
網卡連到交換機上，被測伺服器則通
過千兆光纖網卡與交換機相連接。
被測伺服器均安裝帶
SP4
的
Windows
2000
Advanced Server
操作系統，在所有三項性能測試中都統一
RAID
級別為
5
。
在具體測試方案設置上，測試軟體把決定文件讀寫操作的關鍵因素設定為：讀
/
寫、隨機
/
順序、操作
塊大小、對象大小四個。在本次測試中，考慮到我們設有單獨的資料庫及
Web
測試項目，所以在文件測試
中，我們把目標確定為測試伺服器基本的
I/O
性能，這主要由網路介面、系統帶寬、磁碟子系統等幾大部
分所決定。同時，從幾部分的作用看，以大操作塊讀寫大對象文件，小操作塊讀寫小對象文件，較能反映
伺服器最基本的
I/O
性能，即「大操作塊讀寫大文件」對系統帶寬、緩存的考察，以及「小操作塊讀寫小
文件」對磁碟子系統、網路介面的考察。最終我們確定的四個事務是：
大文件順序讀寫
(
操作塊
8KB
，對象文件
80% 500KB
、
20% 1MB)
大文件隨機讀寫
(
操作塊
8KB
，對象文件
80% 500KB
、
20% 1MB)
小文件隨機讀
(
操作塊
1KB
，對象文件
80% 1KB
、
10% 10KB
、
10% 50KB)
小文件順序寫
(
操作塊
1KB
，對象文件
80% 1KB
、
10% 10KB
、
10% 50KB)
每個事務的用戶數均以固定步長逐漸增加，
最大可增加到
1000
個虛擬用戶。
其中，
「大文件順序讀寫」
事務的用戶數按照
40
的步長從
1
可增加到
400
個
(
測試至強伺服器
)
或
200
個
(
測試
TUALATIN
伺服器
)
，其
他事務則將用戶數按照
100
的步長從
1
增加至
1000
。我們期望得到其在不同用戶數時被測伺服器的性能表
現。總體上其走勢及峰值反映了該伺服器的性能。每項事務均運行三次，每次之間被測伺服器進行重啟，
最終結果為三次平均值。
2
、資料庫性能測試方法
「乘機安全小貼士」安全出行要重視
資料庫性能測試同樣使用了
Benchmark Factory
軟體，測試環境如同文件性能測試。測試時，在被測
伺服器上安裝
SQL Server 2000
使用企業版。首先在被測伺服器上創建新的資料庫，通過使用
Benchmark
Factory
預定義的
Database Spec
項目向資料庫中創建表，裝載數據。在伺服器端創建以
CPU
計算為主的
存儲過程，通過
10
台客戶機模擬用戶、按照
40
個虛擬用戶的步長遞增到
400
個用戶，執行該存儲過程。
結果是以獲得的每秒事務數
(TPS)
衡量伺服器的資料庫事務處理能力。
整個測試分為三次，
每次之間重新啟
動被測伺服器，最終取三次平均值作為評價結果。
3
、
Web
性能測試方法
Web
性能測試工具是由
Spirent
公司提供的
Caw WebAvalanche
。
WebAvalanche
模擬實際的用戶發出
HTTP
請求，
並根據回應給出具體的詳細測試結果。
它有以下特點：
能夠模擬成百上千的客戶端對伺服器發
出請求
;
能夠模擬真實的網路應用情況，
比如網站在高峰期的訪問量應該是動態的維持，
有新客戶端的加入，
同時也有原客戶的離去，
訪問量不是固定不變的
;
可以產生
20000
個連接
/
秒請求量，
足以滿足測試的需要
;
測試項目豐富，有訪問請求的成功失敗數，有
URL
和頁面的響應時間，有網路流量數，還有
HTTP
和
TCP
協
議的具體情況。
測試時，被測伺服器與
WebAvalanche
上都裝有千兆光纖網卡，兩網卡通過光纖直接連接。監控端
(
配
置為
PIII 1GHz/128M
內存
/20G
硬碟
)
安裝了帶
SP4
的
Windows 2000 Server,
該監控端與
WebAvalanche
通
過交叉線直連。在監控端通過
Web
瀏覽器配置
WebAvalanche
，在被測伺服器安裝了
SQL Server 2000
企業
版，並用微軟的
IIS
建立了
Web
伺服器。
測試分為靜態性能與動態性能兩部分。主要是因為在實際的
Web
應用中，有的站點靜態內容居多，提
供的服務也絕大多數是靜態的，
因此，
他們就會特別的關心伺服器靜態性能
;
同樣，
有的站點提供的服務交
互性的內容居多，他們就會更關心伺服器的動態性能。
被測網站中頁面大小及靜態、動態頁面所佔比例均參照實際網站得出，整個網站靜態、動態頁面所佔
比例是
70%
和
30%
，使用的動態頁面類型為
ASP
。請求頁面樣本的文件大小分布比例與整個網站的相同。
靜態性能測試模擬發出的均是靜態頁面請求。在測試動態性能時，動態頁面的訪問請求占
20%
，其餘
80%
為靜態頁面請求。我們根據實際的
Web
伺服器一天中的運行情況建立了一個伺服器頁面請求模型，該
模型由
4
個階段組成，第一階段是預熱階段，
WebAvalanche
發出的請求量由
0
慢慢上升到
200;
第二階段
是逐步加壓階段，請求量逐步累加到最大值
8200;
第三階段是動態維持階段
;
第四階段是下降階段，請求量
由最大值迅速下降為
0
。其中，最大請求量略大於實際伺服器能夠提供的事務處理量。
被測伺服器的靜態與動態測試分別測試三遍，每遍之間被測伺服器和測試儀均重啟，結果取三次的平
均值。由此可見，此伺服器測試方法立志於最終結果的准確性。
二、功能測試
在功能測試方面，我們對被測伺服器的可擴展性、可用性以及可管理性進行了綜合評價，其中可擴展
性包括硬碟、
PCI
槽以及內存等的擴展能力，可用性包括對熱插拔、冗餘設備
(
如硬碟、電源、風扇、網卡
等
)
的支持，可管理性則指的是伺服器隨機所帶的管理軟體。
我們在對伺服器進行總體評價時，綜合了性能、功能和價格三方面因素，依據《網路世界》所做的用
戶調查結果，分別給予不同權重，性能占
50%
，功能占
40%
，而價格則占
10%
。在分析性能時，資料庫性能
占其中的
50%
，而文件性能占
30%
，
Web
性能占
20%
。
綜上所述，這種全新的伺服器測試方法更夠更准確更直接的對伺服器進行測試，而且數據更加精確。
希望能給又需要的讀者朋友帶來一定的幫助
。
謝謝採納。
② 伺服器系統的安全從哪些方面進行測評
操作系統、資料庫、中間件、應用軟體安全性、伺服器所在網路環境安全性。這是主要的。
輔助的還有物理安全性、管理及安全存儲這幾個方面。
③ 如何檢測網站是否存在安全漏洞
檢測網站的安全漏洞方式分為兩種：①使用安全軟體進行網站安全漏洞檢測、②使用滲透測試服務進行安全漏洞檢測。
1、使用安全軟體進行網站安全漏洞檢測
使用檢測網站安全漏洞我們可以選擇安全軟體進行，安全軟體可以對我們的網站和伺服器進行體驗，找出我們伺服器以及網站的漏洞並且可以根據安全漏洞進行修復。
2、使用滲透測試服務進行安全漏洞檢測
滲透測試是利用模擬黑客攻擊的方式，評估計算機網路系統安全性能的一種方法。這個過程是站在攻擊者角度對系統的任何弱點、技術缺陷或漏洞進行主動分析，並且有條件地主動利用安全漏洞。
滲透測試並沒有嚴格的分類方法，即使在軟體開發生命周期中，也包含了滲透測試的環節，但是根據實際應用，普遍認為滲透測試分為黑盒測試、白盒測試、灰盒測試三類。
①黑箱測試又被稱為所謂的Zero-Knowledge
Testing，滲透者完全處於對系統一無所知的狀態，通常這類型測試，最初的信息獲取來自於DNS、Web、Email及各種公開對外的伺服器。
②白盒測試與黑箱測試恰恰相反，測試者可以通過正常渠道向被測單位取得各種資料，包括網路拓撲、員工資料甚至網站或其它程序的代碼片段，也能夠與單位的其它員工進行面對面的溝通。
③灰盒測試，白+黑就是灰色，灰盒測試是介於上述兩種測試之間的一種方法，對目標系統有所一定的了解，還掌握了一定的信息，可是並不全面。滲透測試人員得持續性地搜集信息，並結合已知信息從中將漏洞找出。
但是不管採用哪種測試方法，滲透測試都具有以下特點：
(1)滲透測試是一個漸進的並且逐步深入的過程;
(2)滲透測試是選擇不影響業務系統正常運行的攻擊方法進行的測試。
④ 如何檢測網站伺服器的漏洞
查找Web伺服器漏洞
在Web伺服器等非定製產品中查找漏洞時，使用一款自動化掃描工具是一個不錯的起點。與Web應用程序這些定製產品不同，幾乎所有的Web伺服器都使用第三方軟體，並且有無數用戶已經以相同的方式安裝和配置了這些軟體。
在這種情況下，使用自動化掃描器發送大量專門設計的請求並監控表示已知漏洞的簽名，就可以迅速、高效地確定最明顯的漏洞。Nessus 是一款優良的免費漏洞掃描器，還有各種商業掃描器可供使用，如 Typhon 與 ISS。
除使用掃描工具外，滲透測試員還應始終對所攻擊的軟體進行深入研究。同時，瀏覽Security Focus、郵件列表Bugtrap和Full Disclosure等資源，在目標軟體上查找所有最近發現的、尚未修復的漏洞信息。
還要注意，一些Web應用程序產品中內置了一個開源Web伺服器，如Apache或Jetty。因為管理員把伺服器看作他們所安裝的應用程序，而不是他們負責的基礎架構的一部分，所以這些捆綁伺服器的安全更新也應用得相對較為緩慢。而且，在這種情況下，標準的服務標題也已被修改。因此，對所針對的軟體進行手動測試與研究，可以非常有效地確定自動化掃描工具無法發現的漏洞。
⑤ 伺服器滲透測試怎麼做
滲透測試流程
前滲透階段
信息搜集、漏洞掃描
滲透階段
漏洞利用、OWASP Top 10、web安全漏洞、中間件漏洞、系統漏洞、許可權提升、Windows/Linux、第三方資料庫、番外：處理WAF攔截
後滲透階段
內網滲透、內網反彈（埠轉發、埠復用）、域滲透、許可權維持、系統後門（Window/Linux）、web後門（webshell、一句話木馬）、痕跡清除、系統日誌、web日誌(IIS、Apache)
⑥ 怎麼測試高防伺服器的防護
高防的機房，機房硬體防火牆設備起碼在10G以上。並且可認為單個客戶供給安全保護，作為高防機房，有必要確保該機房要具有足夠大的出口帶寬，由於許多攻擊也都是運用的帶寬做去攻擊他人的機器的。那麼機房就有必要也要具有足夠大的帶寬資本，才幹承受大的攻擊。這樣才幹滿意高防伺服器的特色，所以在挑選高防伺服器時必定要注意這一點，
本來能夠從國內高防機房散布線路看出的，國內高防多以電信為主，網通也有高防，可是防護不高，而雙線機房就徹底是沒防護的，即是由於雙線機房接入的帶寬通常也就20G擺布。電信之所以高防多，也都是由於電信機房的出口帶寬冗餘多，可擴展性大，有規模的電信機房出口帶寬起碼40G擺布，那麼挑選高防的時分，如果是真的要運用防護實力好的，就鎖定在電信線路，來挑選。別的線路即使說自個防護多好多好，都沒法跟電信的防護比。那麼是不是一切稱自個是電信高防的機房都是防護好的? 這個也是有待用戶多去講究的。
以江浙區域 以及廣東區域的為主。這些城市的電信機房在國內都比照聞名的。運用高防的用戶多是集中在這些區域。至於怎麼判別這些區域中哪些機房防護是真的好。
首要需求了解到現在常遇到的攻擊 多是DOS CC SYN 這些攻擊。要知道市場上硬體防火牆的本錢。那麼你就拿他們機器的報價跟市場上的硬防報價來做個比照在征詢某公司高防時分，如果某客服通知你，咱們這硬防是多高，就能夠防護多大的攻擊；又或許通知你咱們這硬防能夠防護一切類型的攻擊，不可信，全球最牛的13台根伺服器還被攻擊跨過呢，所以不存在肯定的工作。又或許通知你，咱們的高防僅僅只百元就能夠享用單機防護十幾G甚至更高，也不可信。
在選擇高防伺服器方面一定要選擇有資質、有經驗的服務商公司。比如群英在高防伺服器和唯一這些的高防都是不錯的。如果有需求的，你可以去問問。
⑦ 安全測試包含哪些內容
安全測試內容
1、前端數據內容抓取
a、指定內容的抓取
對於關鍵內容比如userid, 投資金額等的數據進行修改
b、隱藏欄位內容的抓取
對於頁面type='hidden'的組件，嘗試下是否可以進行修改及修改後的效果。
比如新手標的redmoney_id就是在頁面里隱藏著，發現規律的話，可以將普通標買成新手標。
http cookie 也可以認為是一個隱藏的欄位
嘗試修改cookie
2、前端相關參數的修改
a、URL參數，主要針對是get請求的變數
b、referer, referer消息頭可以准確的判斷某個特殊的請求來自哪個url。所有正常的請求都來自已知的且是我們自己系統的url
將feferer修改後，看看效果
c、模糊數據
對於某些加密數據，可以嘗試去進行解密
即使無法解密，我們也可以將一個更加便宜的商品加密價格 修改到一個貴的商品的加密價格上
3、安全處理客戶端數據
a、減少客戶端向伺服器傳輸的數據，比如某個產品的價格，只要將購買產品的相關其他屬性傳給伺服器，後台服務主動去查一下產品的價格即可。
減少數據傳輸從業務上來決定
b、如果確實需要進行傳輸數據，對必要的數據一定要進行加密。
攻擊驗證機制
1、驗證技術
a、基於HTML表單的驗證
b、多元機制，組合型密碼和物理令牌
c、客戶端ssl證書或智能卡
d、http基本和摘要驗證
2、問題
a、密碼保密性不強
空白，太短的密碼，常用密碼，密碼和用戶名一致，密碼嘗試無限制等
b、記住我功能
確認記住我功能是只記住用戶名？ 還是記住用戶名和密碼？如果是第一種，還比較安全
如果是記住用戶名和密碼，則可以查看cookie在記住和不記住之間的區別
c、找回密碼，修改密碼等功能一般存在的都是邏輯漏洞
攻擊數據存儲區
SQL注入:
username= ' or 1=1
select * from user_main where username = '' or 1=1
username= ' or 1=1 --
select * from user_main where username= '' or 1=1 --
現在web應用系統的程序安全意識很強，所以sql注入漏洞也越來越少
對於update
update users set password='newsecret' where user='marcus' and password = 'secret'
user= admin' --
字元串滲透測試步驟：
1、提交一個單引號作為查詢目標，查看是否有錯誤
2、如果有錯誤或異常，提交兩個單引號，看什麼情況。
數字注入：
1、如果原始值為2， 嘗試提交 1+1 或者3-1
2、可以使用 67- ASCII('A') 來表示 2
最簡單直接的方式，可以使用sqlmap對網站進行sql注入檢測
http://www.freebuf.com/articles/web/29942.html
sql 注入的防禦措施
1、對於輸入內容的過濾
2、參數化查詢，避免sql的拼接
3、深層防禦，訪問資料庫時，應用程序盡可能使用最低許可權的賬戶
盡可能將資料庫一些默認的功能關閉
盡可能及時對資料庫本身的漏洞安裝安全補丁
注入nosql :
介面的安全測試：
1. 請求合法性校驗，考慮採用token方式保證介面不被其他人訪問。
2. 數據校驗，白名單方式驗證數據確保不出現異常數據和注入攻擊。
3. 數據加密，對數據進行加密保證其他人無法非法監聽或截取。
4. 錯誤處理，對系統返回結果編制返回碼，避免堆棧信息泄露。
5. 介面閾值，對介面訪問頻率設置閾值，超出設定的訪問頻率時返回錯誤碼。
測試後端組件
1、注入操作系統命令
2、OS命令注入漏洞
3、路徑遍歷漏洞
4、防止腳本注入漏洞