本文目录一览：
- 1、网站渗透测试怎么做？
- 2、如何用SSH访问你的linode VPS
- 3、怎么使用kali linux入侵.asp网站
- 4、如何使用ssh进行安全的连接
- 5、宝塔防火墙付费版本,可以防止网站程序被入侵吗?
网站渗透测试怎么做？
先看网站类型，安全性相对而已aspaspxphpjspcfm
看服务器类型 windows还是 linux 还有 服务器应用，windows分iis6 iis7等等 linux分apache和nginx 需要知道对于版本的漏洞 如 iis6解析漏洞 你百度，web服务器解析漏洞大全
反正需要懂的知识蛮多的 ，你自学没必要了，知识点 你可以百度下 知识点：
网站入侵学习入门到高手所有重点难点视频推荐
当知识点学的差不多了，总体的方法差不多就是：
入侵网站，锁定目标 识别程序 找oday oday不成功 扫后门 扫备份 无后门 无备份 找后台 找注入 无注入 弱口令 无弱口令 找图片 扫编辑器 无编辑器 扫目录本地文件包含～任意文件下载 xss乱打拿不下 就旁注 旁不下 扫端口 还不行就去社 社不了 就爆破还不行 去C段 ip端口入侵 C段搞不了 子域名下手 还不行字典问题，
后面就是 学精sql注入（知道原理去尝试绕过waf），xss ，还有代码审计 内网域渗透，msf，反正学无止尽 这个知识主要靠累计，其他的靠自己本事去绕waf（ids和cdn），挖xss，oday获取突破点。
如何用SSH访问你的linode VPS
Linode VPS操作系统安装好后，就需要设置用SSH访问了。话说为什么用ssh来远程访问你的linode，是这样的，如果你的linode上运行一个能给你带来很多很多money的网站，你是不想让别人知道你访问密码和发送命令的，通过ssh可以加密数据通道，不用明文方式传输数据。linode下如何用ssh我不介绍了，因为大部分用户都是在windows上远 程访问linode的。首先需要知道你的linode的公网地址所在，通过管理面板的远程访问（Remote Access）这个页面，可以知道linode地址和DNS等信息。另外一个比较重要的是你可以用ajax版的LISH直接访问linode，执行 root操作。windows 下的ssh客户端使用最多的是putty，google一下就能找到，运行它会弹出一个配置窗口，在host name和port两处分别输入linode的公网地址和22，再点击“open”就连接到你的linode服务器了， 你也可以点击“save”保存设置后再Open，这样以后就不用重复服务器地址。Open后如果是第一次使用putty，那么系统会弹出一个安全警告，无外乎一些数字签名及认证之类的，直接点击“yes”就行，以后就不会再弹出了，这时系统会进入远程回话终端，里面所有输入的命令和显示本地操作linux系统一样，用root用户试试吧。远程会话终端第六步：系统升级通过root用户登录系统后，第一件事要做的就是系统升级，因为linux系统及其组件无时不在升级变化，包括很多漏洞补丁之类的。如果你不想被入侵或者系统不稳定，那么就应该养成定期升级系统的习惯，操作很简单，就两个命令Debian： apt-get updateapt-get upgrade --show-upgradedUbuntu： sudo apt-get updatesudo apt-get upgrade --show-upgradedCentOS/Fedora: yum update第七步：设置服务器名称这步可有可无，不过给自己的服务器起一个有意义且性感的名称也能反映出你的一些心态和愿景，呵呵。下面是几种linux发布版的设置方法，plato为你想要设置的自己的服务器名称。Debian/Ubuntu： echo "plato" /etc/hostnamehostname -F /etc/hostnameCentOS/Fedora: echo "HOSTNAME=plato" /etc/sysconfig/network hostname -F /etc/HOSTNAMEGentoo: echo "HOSTNAME=\"plato\"" /etc/conf.d/hostname/etc/init.d/hostname restartArch: echo "HOSTNAME=\"plato\"" /etc/conf.d/hostnamehostname plato这个名称如果你自己在linode主机上ping的话ping不通，因为没有被解析，需要在/etc/hosts文件里加入下面内容 127.0.0.1 localhost.localdomain localhost
怎么使用kali linux入侵.asp网站
kali我一般都用ssh的
1、修改sshd_config文件，命令为：vi
/etc/ssh/sshd_config
2、将#passwordauthentication
no的注释去掉，并且将no修改为yes
//我的kali中默认是yes
3、将#permitrootlogin
yes的注释去掉
//我的kali中默认去掉了注释
4、启动ssh服务，命令为：/etc/init.d/ssh
start
//
或者service
ssh
start
5、验证ssh服务状态，命令为：/etc/init.d/ssh
status
如何使用ssh进行安全的连接
MindTerm、socat 还有 VNC，哦，天哪！虽然能够远程工作一直都是系统程序员和管理员最喜欢的 Linux 优点之一，但设置远程访问却不是一件简单的事情。 选择合适的远程服务 紧接着的第二个话题便是本篇专栏文章的主题：安全性。 您的服务器在物理上应当是被隔离的，应当禁用所有不必要的联网访问，并且只能通过 ssh 或更好的方式访问服务器。特别值得一提的是，尽可能少使用实时的 telnet 、 ftp 、 rlogin 和 rsh 以及相关服务；它们实在是太危险了。 首先，您当然应该尝试一番。程序员和管理员本可以在正常的上班时间里在自己比较安静的工作场所工作，但是他们却喜欢强迫自己突击完成这些工作，这可是出了名的。您可别让自己成为这种行为的牺牲品！确信您进行的连接具有合法的业务目的，并非违规行为。 但是，如果您过去有这些组织问题，那么连接问题的答案便是使用 ssh。即使您原则上更依赖于虚拟专用网（VPN）而非 ssh，我还是认为出现紧急情况时，如若不能使用常规方法，那么设置 ssh 访问会比较谨慎些。VPN 仍然有些难以处理，并且需要依靠特别的硬件配置。如果您是通过客户机的网络（多半是使用普通桌面机器）呼叫主机的，则您可以进行的选择是极其有限的。 ssh 满足需要 好消息是 ssh 在这些限制的夹缝之中通常还能满足需要。即使您外出办事，但在公共接入点（比如网吧），您还是可能有足够的资源使 ssh 工作。 您或许不能依赖于自己的设备。说得严重些，带着任何比手持设备大的设备到处走，是另一个安全性风险；更糟的是，许多地方不准插入外来的硬件。您通常必须使用提供给您的硬件。 但是下载 puTTY、ssh 或 MindTerm 客户机一般都很快。而且我也喜欢那样做。任何具有足够的网络栈、可以连接到您的服务器室的主机，都可能有准许进行下载的 Web 浏览器。使用已经安装好的客户机要小心；对于某些人而言，将客户机替换成经过修改的、能捕获击键信息（或更糟的情况）的客户机实在是太容易了。 另一种方式是构造嵌入了 MindTerm 客户机作为 applet 的 Web 页面，这表面上看起来挺吸引人的。而我的经验告诉自己这种方法没什么用处。大多数地方都禁用 Java、或提供只具有旧的 Java 运行时引擎（JRE）的浏览器，或者采用别的方式来降低 applet 的便利性。如果我要使用 MindTerm，则只想下载和安装该客户机以及兼容的 JRE。对于构造针对最终用户的应用程序，applet 通常是一种好技术。applet 还适合进行只读配置。但是，我发现这种用法非常少。因此，为使自己的工作具有效率，不值得花时间去解决 applet 环境中可能存在的难题。我一直觉得，找到一个兆字节的空闲大容量存储器并在上面安装 ssh 客户机会更加方便。 您坐下一会后就应当安装新的 ssh 客户机并启动它。但是，这可能还不够。某些地方防火墙关闭了大多数端口，或者至少关闭了包括 ssh 的标准端口 22 在内的许多端口。 这里有另一种准备提供帮助的方法。在我的至少一台主机上，我希望让 sshd（ssh 守护程序）在通常被指派给常见因特网服务（比如 ftp、http、smtp 或 pop3）的端口上运行。即使是最严密的防火墙也要打开端口 21、8080、25 和 110 中的一个。将您的一台机器设置为捕获这样的通信，您就可以使它穿过大多数的防火墙。 这听起来是否象是非法闯入者在说话呀？我 不赞成滥用网络。经常有其它公司的雇员 邀请我使用他们的网络，虽然他们也知道，用敏感的方式（比如临时打开端口 22）更改他们的防火墙就公司制度而言是不可行的。我逐渐接受了这种认识：准备采用旁门左道也是当前专业实践的一部分，但我需要确保自己只以一种负责任的方式完成这个工作。 这样就启动了我的工作会话，然后：我下载引用 ssh 客户机，快速安装并启动它们，然后用 SSL 保护的密码往回验证我留在服务器室中运行的某个 sshd。 请注意，我仍然容易受到篡改过的主机的攻击。一个经过充分修改的桌面机器或一个警惕的窥视狂可以在击键信息到达 SSL 库之前将其记入日志。 这种情况的解决方案就是使用一次性密码（OTP）系统。到目前为止，在我看来 OTP 带来的麻烦多于安全性。OTP 给您自己带来的代价和收益肯定至少会略微有所不同。无论如何，回到日常的工作场所可能是更新密码的好时机。 使用标准部件 我希望 服务器诊所每个月都显示工作代码。在本文中，很难添加任何代码。我推荐的配置很简单，在标准的参考资料中都作了充分的记录。例如，要在第二个端口上添加 ssh 服务，只要将如下行：Port 8080 添加到现有的 /etc/ssh/sshd_config，然后重新启动 sshd。另一个方法是使用网络代理程序或端口转发器（比如 netcat 或 socat），将它指回本地主机（localhost）的标准 ssh 端口，这个方法在运行试验和调优日志记录或额外安全性方面很有用。 代理程序这里的上下文中的代理程序是一个小型转换程序，它只是让网络流量通过。如果我在端口 22 上设置了 sshd 服务器，并且希望在端口 110 上设置另一台 sshd 服务器，那么实现这个想法的一个方法是安装网络代理程序。这样的代理程序在端口 110 上用作服务器，接收来自外界的流量。它通过在端口 22 上充当客户机来处理这些分组。基本 sshd 服务器完成所有的实际工作；代理程序的作用只是从一个端口转换到另一个端口（可能在另一台主机上）。 这篇特别的专栏文章的真正价值并不在于深奥的代码，而只是在于传达了一个清晰的概念，您应该以此为目标来启用自己的远程服务。我已经尝试过许多方法。利用这些经验，尤其要了解 不要做什么，至少要了解在您首次设置服务器室时不要做什么：禁止 Telnet，不要让不用的服务一直开着，不用担心 applet（尤其不要担心 applet 签名），以及如若感到不对劲就不要进行远程登录。 另一方面，一定要使用标准部件。我已经尝试过许多聪明的想法，用于调整 ssh 协议或自己的防火墙，以阻止黑帽黑客（指专门利用网络技巧入侵网络进行破坏的人，译者注）。与这些想法所提供的安全性方面的小小增强相比，它们的维护比较困难，因此有些得不偿失。除非我编制一个明确的安全性项目的预算，并具有明确的长期目标，否则最好将时间花在使用 ssh 上，而不是花时间设法改进它。 采用以上步骤，您将拥有一个服务器室，它的安全性要比您只使用标准的 Linux 服务器安装时要好得多。您还能够从全球可以找到几乎所有的同步连接上远程管理它。
宝塔防火墙付费版本,可以防止网站程序被入侵吗?
宝塔面板安全设置,宝塔服务器被入侵漏洞安全注意事项,宝塔后台使用安全
一：面板安全说明：面板是你的服务器管理窗口，所以面板安全至关重要，千要不要嫌一点点麻烦就放任不管，下面就来说说面板需要做哪些安全设置比较稳妥
1、安装好面板后第一时间修改管理员用户名及密码
2、修改面板端口，建议使用5位端口，如：39581
3、为面板绑定一个比较复杂的三级域名，这个域名你可以真实解析，也可以通过您的家用或办公电脑中hosts过去，如：Ai80093ymdHis000.bt.cn
4、若条件允许，可以设置许可IP
5、若长期不需要登陆面板，可以将面板暂时关闭，(并不影响面板中的计划任务及守护程序)
二：系统及网络安全
1、定期检查并修复系统漏洞
2、开启防火墙，只放行要用上的端口
3、修改SSH端口
4、禁Ping
5、若你长期不需要登陆SSH，请在面板中将SSH服务关闭
6、安装悬镜、云锁、安全狗等安全软件(只安装一个)
三：网站安全
1、隐藏后台管理入口
2、除了update/cache等少数目录，其它所有目录都给只读权限
3、在nginx/apache站点配置中限制除入口目录及资源目录以外的所有目录的访问权限
4、若网站程序支持，尽量使用php5.4以上的版本
5、如非必要，不要给站点创建FTP，或使用完就删除或停用站点的FTP帐户
6、如非必要，不要对外开放3306端口，并隐藏好phpmyadmin位置，最好设个访问密码
7、尽量开启SSL(HTTPS)
8、保护好网站源码及数据库备份，请不要将数据库备份及网站源码包放在站点根目录
9、若你使用Nginx，可在面板中开启WAF防火墙，可有效防止绝大多数web攻击