手动渗透测试：像黑客一样思考
很多公司会请安全工程师模拟攻击自己的系统，这种方式叫手动渗透测试。比如，测试人员会尝试用弱密码登录后台，或者在网站输入框里插入一段脚本代码，看看会不会被执行。这种检测方式贴近真实攻击场景，能发现自动化工具忽略的问题。
漏洞扫描工具自动排查
市面上有很多成熟的漏洞扫描工具，比如 Nessus、OpenVAS 和 AWVS。它们可以快速扫描服务器、网站和网络设备，查找已知的漏洞。比如检测是否开启了高危端口，或者使用的 Apache 版本存在远程执行风险。配置好目标地址后，工具会自动生成一份带风险等级的报告。
一个简单的扫描命令示例：
nmap -sV -p 1-1000 <target_ip>这条命令会扫描目标 IP 的前 1000 个端口，并尝试识别服务版本，帮助判断是否存在可利用漏洞。
日志分析：从痕迹中发现问题
服务器、防火墙和应用都会记录访问日志。通过分析这些日志，能发现异常行为。比如某个 IP 在一分钟内尝试登录了 50 次，大概率是暴力破解；或者突然出现大量 404 请求指向 /admin.php，可能是探测后台路径。用 ELK（Elasticsearch + Logstash + Kibana）这类工具可以集中查看和告警。
入侵检测系统（IDS）实时监控
IDS 像是个保安摄像头，持续监听网络流量。当发现特征匹配的攻击行为，比如 SQL 注入语句或恶意文件下载，就会触发告警。Snort 是一个常用的开源 IDS，可以通过规则库自定义检测内容。
例如，这条 Snort 规则用于检测常见的 union select 攻击：
alert tcp any any -> any 80 (msg:"SQLi: Union Select Detected"; content:"union select"; nocase; sid:1000001;)代码审计：从源头堵住漏洞
开发完成后，对源码进行安全审查也很重要。重点关注用户输入处理的地方，比如有没有对表单内容做过滤，数据库查询是否用了预编译。PHP 中常见的 $_GET 或 $_POST 参数如果直接拼进 SQL 语句，就容易出问题。用工具如 RIPS 扫描代码，也能结合人工逐行检查关键逻辑。
定期更新与补丁管理
很多攻击利用的是已知但未修复的漏洞。比如某次爆出的 Log4j 远程执行问题，只要没及时升级 jar 包就会中招。建立补丁更新机制，定期检查系统组件版本，能有效降低风险。可以设置自动通知，一旦官方发布新版本就提醒运维人员评估升级。