第一，變換安全測試的角度
我認爲，無論是帶着全棧的工作經驗，還是隻能一部分技術性專業知識，要想搞好安全測試務必先變換我們觀查軟件的角度。舉個事例，我們一起看一下：一樣一幅畫，許多人一眼看以往見到的是2個面部，而許多人見到的是一個大花瓶。這就是觀查角度的不一樣導致的。在我一開始觸碰安全測試時就很深的感受來到這一點。那時候我還在測試一個Web運用的賬號登錄作用。當我們鍵入不正確的登錄名來嘗試登錄時，電腦瀏覽器上的信息提示爲“該登錄名不會有”。當我們試着恰當的登錄名而不正確的登陸密碼時，信息提示變爲“登陸密碼鍵入不正確。”針對這一清楚的錯誤提示我十分令人滿意。設想我若是一個真正的終端產品，這一信息內容合理的協助我變小改錯範疇，提高工作效率，很好。
但是，在我身邊蹲着的安全測試工程師立刻跳了出去：“這一信息提示必須改！比較敏感信息內容曝露了！”見到我一臉茫然，那位安全測試工程師跟我說，根據我們的信息提示，故意的系統軟件使用人能夠推斷出什麼登錄名早已存有於系統軟件中，隨後運用這種登錄名能夠再開展登陸密碼的暴力破解密碼，變小破譯的範疇。因此，這一信息內容儘管爲合理合法客戶出示了便捷也爲心懷不軌的系統軟件使用人出示了便捷。而通常這類便捷爲故意的系統軟件使用人產生的益處遠高於給合理合法客戶產生的益處。
這一親身經歷在要我受震動的另外，也使我意識到將會許多 安全系統漏洞以前就擺放在我的眼前了，我卻沒有看出去，由於我將他們過慮了。事實上，在之後親身經歷的不一樣新項目中，當我們變換了角度，一些安全系統漏洞不用我要去找，只是自身跑到我眼下來的。簡直獲得全不費功夫。
第二，更改測試中仿真模擬的目標
以便能從不一樣的角度來觀察軟件，我們務必更改我們所仿真模擬的目標。這也是一個我們一起刻意練習變換角度的合理方式 。我們在做非安全測試的情況下一般 把自己想像成一個合理合法客戶，隨後剛開始認證系統軟件是不是能進行預置的總體目標。例如針對一個網上商城系統，我們會認證系統軟件是不是能讓客戶進行產品的訪問與選購，我們也會測試一些出現異常的個人行爲，例如選購的產品總數並不是大數字只是一串無意義的英文字母時，看系統軟件是不是能較爲雅緻的作出答覆。我們那麼測試的目地通常是以便保證客戶操作失誤之後還可以再次她們的選購，換句話說不必給系統軟件導致哪些比較嚴重的損害。如果您想進行安全測試，則必須轉到另一種類型的用戶——有意用戶——進行系統模擬。她們的目地是找尋系統軟件中可鑽的系統漏洞。例如一樣是一個網上商城系統，故意客戶的總體目標之一便是要想辦法以偏少的錢，乃至不付費就能取得產品。因此，假如故意客戶開展了“操作失誤”，她們不容易滯留在“操作失誤”，只是根據“操作失誤”看來系統軟件是不是爲自己出示大量的案件線索。
因此，我們必須變換測試時需仿真模擬的目標，把邏輯思維從一個合理合法客戶的角度中拉出去，轉化成一個故意客戶。這必須一點時間，就好似以前見到的畫，如果我們一開始見到的是面部，要想下一次第一眼見到的是大花瓶，我們必須時間來刻意練習。
第三，應用專用型的檢測工具擁有邏輯思維的變換，我們可以添加新的測試念頭。可是，在實際做安全測試的情況下我們會發覺並並不是那麼非常容易去仿真模擬故意客戶的個人行爲。終究系統軟件的前端開發會讓我們設定許多的天然屏障。並且故意客戶並不一直從系統軟件中門進來的。此刻，應用一些專用工具，例如OWASP等是十分有協助的。我們可以在操作界面上實行系統測試的用例，用這種專用工具來獲得http懇求，僞造後發給後臺管理網絡服務器。擁有這種好用又較爲非常容易入門的專用工具，我們就可以實行許多故意客戶的實際操作情景了。能保證這三點，開展安全測試的基礎就足夠了，如果大家想要對自己的網站或APP進行安全測試的話推薦幾家做的比較專業的網站公司如SINESAFE，鷹盾安全，啓明星辰，銨太科技等這些公司。