网站安全渗透测试怎么做？
信息收集：
1、获取域名的whois信息,获取注册者邮箱姓名电话等。
2、查询服务器旁站以及子域名站点，因为主站一般比较难，所以先看看旁站有没有通用性的cms或者其他漏洞。
3、查看服务器操作系统版本，web中间件，看看是否存在已知的漏洞，比如IIS，APACHE,NGINX的解析漏洞。
4、查看IP，进行IP地址端口扫描，对响应的端口进行漏洞探测，比如 rsync,心脏出血，mysql,ftp,ssh弱口令等。
5、扫描网站目录结构，看看是否可以遍历目录，或者敏感文件泄漏，比如php探针。
6、google hack 进一步探测网站的信息，后台，敏感文件。
漏洞扫描：
开始检测漏洞，如XSS,XSRF,sql注入，代码执行，命令执行，越权访问，目录读取，任意文件读取，下载，文件包含， 远程命令执行，弱口令，上传，编辑器漏洞，暴力破解等。
漏洞利用：
利用以上的方式拿到webshell，或者其他权限。
权限提升：
提权服务器，比如windows下mysql的udf提权。
日志清理：
结束渗透测试工作需要做的事情，抹除自己的痕迹。
总结报告及修复方案：
报告上包括：
1、对本次网站渗透测试的一个总概括，发现几个漏洞，有几个是高危的漏洞，几个中危漏洞，几个低危漏洞。
2、对漏洞进行详细的讲解，比如是什么类型的漏洞，漏洞名称，漏洞危害，漏洞具体展现方式，修复漏洞的方法。
如何写好一份渗透测试报告
当你连续奋战了好几天，终于合上了笔记本，想要出去透透风时，一个熟悉的问句传来：“你好，请问什么时候可以交付报告？”
有成千上万的书籍讲解什么是信息安全，什么是渗透测试，也有数不清的培训课程视频。但是，我敢打赌，在这些材料中，只有不到10%是在讲写报告的事情。在一个完整的渗透测试过程中，有将近一半的时间都用在了编写报告上，这听起来很让人吃惊，但是也并不奇怪。
教会某人写报告不像教会某人制作一个完美的缓冲区溢出那么有意思，大部分的渗透测试人员情愿复习19次TCP数据包结构的工作原理，也不愿意写一份报告。
不管我们的渗透测试水平多么高，想要把一个很深的技术点解释的很通俗易懂，即使是完全不懂安全的人也可以理解，这是一件异常艰难的挑战。不但得学会简单明了的解释渗透测试的结果，还得控制好时间。这样做的好处很多，关系到客户会不会不断的采购你的服务。有一次，我开车到350英里以外的一家客户那里做售前，当面重新解释了渗透测试报告的本内容；如果能把测试报告写的简单明了，我就不用跑这么一趟，相当于节省了一整天的时间和一整箱汽油。
举个例子：
一个模糊不清的解释：“SSH版本应该被禁用，因为它含有高危漏洞，可能允许攻击者在网络上拦截和解密通信，虽然攻击者控制网络的风险很低，这减少了严重性。”
清楚的解释：“建议在这些设备上禁用SSH，如果不这样做，就有可能允许攻击者在当地网络解密和拦截通讯。”
为什么渗透测试报告如此重要？
请谨记：渗透测试是一个科学的过程，像所有科学流程一样，应该是独立可重复的。当客户不满意测试结果时，他有权要求另外一名测试人员进行复现。如果第一个测试人员没有在报告中详细说明是如何得出结论的话，第二个测试人员将会不知从何入手，得出的结论也极有可能不一样。更糟糕的是，可能会有潜在漏洞暴露于外部没有被发现。
举个例子：
模糊不清的描述：“我使用端口扫描器检测到了一个开放的TCP端口。“
清晰明了的描述：“我使用Nmap 5.50，对一段端口进行SYN扫描，发现了一个开放的TCP端口。
命令是：nmap –sS –p 7000-8000“
报告是实实在在的测试过程的输出，且是真实测试结果的证据。对客户高层管理人员（批准用于测试的资金的人）可能对报告的内容没有什么兴趣，但这份报告是他们唯一一份证明测试费用的证据。渗透测试不像其他类型的合同项目。合同结束了，没有搭建新的系统，也没有往应用程序添加新的代码。没有报告，很难向别人解释他们刚买的什么东西。
报告给谁看？
至少有三种类型的人会阅读你的报告：高级管理人员，IT管理和IT技术人员。
高级管理人员根本不关心，或者压根不明白它的意思，如果支付服务器使用SSL v2加密连接。他们想知道的答案是“我们现在到底安不安全？”
IT管理对该组织的整体安全性感兴趣，同时也希望确保其特定的部门在测试过程中都没有发现任何重大问题。我记得给三个IT经理一份特别详细的报告。阅读这份报告后有两个人脸色变得苍白，而第三个人笑着说“太好了，没有数据库的安全问题”。
IT人员是负责修复测试过程中发现的问题的人。他们想知道三件事：受影响系统的名称，该漏洞的严重程度以及如何解决它。他们也希望这些信息以一种清晰而且有组织的方式呈现给他们。最好的方法是将这些信息以资产和严重程度来进行划分。例如“服务器A”存在“漏洞X，Y和Z，漏洞Y是最关键的。这样IT人员就可以快速的找到问题的关键，及时修复。
当然,你可以问你的客户是否愿意对漏洞分组。毕竟测试是为了他们的利益，他们是付钱的人！一些客户喜欢有个详细说明每个漏洞的页面，并表明受漏洞影响的资产有哪些。
虽然我已经提到了渗透测试报告三种最常见的读者，但这并不是一个详尽的清单。一旦报告交付给客户，取决于他们用它干什么。它可能最终被提交给审计人员作为审计的证据。它可以通过销售团队呈现给潜在客户。“任何人都可以说自己的产品是安全的，但他们可以证明这一点？我们可以看看这里的渗透测试报告。“
报告甚至可能最终共享给整个组织。这听起来很疯狂，但它确实发生过。我执行一次社会工程学测试，其结果低于客户的期望。被触怒的CEO将报告传递给整个组织，作为提高防范社会工程攻击意识的一种方式。更有趣的是，几周后当我访问同一个公司做一些安全意识的培训。我在自我介绍时说，我就是之前那个负责社工测试的人。愤怒的目光，嘲讽的语气，埋怨我给他们所有人带来多少麻烦。我的内心毫无波动，答道：“把密码给我总比给真正的黑客好。”
报告应该包含什么？
有时候你会很幸运的看到，客户在项目计划之初就表明他们想要的报告内容。甚至有一些更为细小的要求，比如，字体大小和线间距等。但是这只是少数，大部分客户还是不知道最终要什么结果，所以下面给出一般报告的撰写程序。
封面
封面是报告的第一面窗户，封面页上包含的细节可以不那么明显。但是测试公司的名称、标志以及客户的名称应该突出显示。诸如“内部网络扫描”或“DMZ测试”测试标题也应该在那里，对于相同的客户执行多个测试时，可以避免混淆。测试时间也要写上，随着时间的推移，用户可以清楚的得知他们的安全状况是否得到了改善。另外该封面还应包含文档的密级，并与客户商定如何保密好这份商业上的敏感文件。
内容提要
我见过一些简直像短篇小说一样的内容提要，其实这部分一般要限制在一页纸以内。不要提及任何特定的工具、技术，因为客户根本不在乎，他们只需要知道的是你做了什么，发现了什么，接下来要发生什么，为什么，执行摘要的最后一行应该是一个结论，即明确指出是该系统是安全还是不安全。
举个例子：
一个糟糕的总结：“总之，我们发现一些地方的安全策略运作良好，但有些地方并未遵从。这导致了一定风险，但并不是致命风险。”
一个优秀的总结：“总之，我们发现了某些地方没有遵守安全策略，这给组织带来了一个风险，因此我们必须声明该系统是不安全的。”
漏洞总结
将漏洞列表放在一个页面上，这样，IT经理便可以一目了然的知道接下来要做什么。具体怎样表现出来，形式多样，你可以使用花哨的图形（像表格或图表），只要清晰明了就行。漏洞可以按类别（例如软件问题，网络设备配置，密码策略）进行分组，严重程度或CVSS评分——方法很多，只要工作做得好，很容易理解。
测试团队的详细信息
记录测试过程中所涉及的每一个测试人员的名字，这是一个基本的礼节问题，让客户知道是谁在测试他们的网络，并提供联系方式，以便后续报告中问题讨论。一些客户和测试公司也喜欢依据测试的内容向不同的测试小组分配任务。多一双眼睛，可以从不同的角度查看系统的问题。
工具列表
包括版本和功能的简要描述。这点会涉及到可重复性。如果有人要准确复现您的测试，他们需要确切地知道您使用的工具。
工作范围
事先已经同意，转载作为参考是有用的。
报告主体
这部分才是报告的精华，报告的正文应包括所有检测到的漏洞细节，如何发现漏洞，如何利用漏洞，以及漏洞利用的可能性。无论你做的是什么，都要保证给出一个清晰的解释。我看过无数份报告，都是简单的复制粘贴漏洞扫描的结果，这是不对的。另外报告中还应包括切实贴合的修复建议。
最终交付
在任何情况下任何一份报告应该加密传输。这虽然是常识，但往往大家就会摔倒在最后的这环上。
实验二 达西渗透实验
1.实验目的
1)通过稳定流条件下的渗透实验，进一步加深理解线性渗透定律———达西定律。
2)加深理解渗透流速(v)、水力坡度(I)、渗透系数(K)之间的关系，并熟悉实验室测定渗透系数(K)的方法。
2.实验内容
1)了解达西渗透实验装置(图B-2、图B-3)。
2)验证达西渗透定律。
3)测定不同试样的渗透系数。
3.实验原理
在岩石空隙中，由于水头差的作用，水将沿着岩石的空隙运动。由于空隙的大小不同，水在其中运动的规律也不相同。实践证明，在自然界绝大多数情况下，地下水在岩石空隙中的运动服从线性渗透定律:
图B-2 达西仪装置图(底部进水)
水文地质学概论
式中:Q为渗透流量，m3/d或cm3/s;K为渗透系数，m/d或cm/s;ω为过水断面面积，m2或cm2;Δh为上、下游过水断面的水头差，m或cm;L为渗透途径的长度，m或cm;I为水力坡度(或称水力梯度)， ;v为渗透流速，m/d或cm/s。
利用该实验可验证达西线性渗透定律:Q=KωI或v=KI。其主要内容为:流量(Q)(或v)与水力坡度(I)的一次方成正比。在实验时多次调整水力坡度(改变水头)，看其流量(Q)(或v)的变化是否与水力坡度一次方成正比关系。
实验时，可直接测定流量(Q)、过水断面面积(ω)和水力坡度(I)，从而可求出渗透系数(K)值
室内测定渗透系数，主要采用达西仪。其实验方法有两种:①达西仪由底部供水，出水口在上部(图B-2)。实验过程中，低水头固定，调节高水头;②达西仪是由顶部供水，水流经砂柱，由下端流出(图B-3)。实验过程中，高水头固定，调节低水头，即调节排水口的高低位置。由底部供水的优点是容易排出试样中的气泡，缺点是试样易被冲动。由顶部供水的优缺点与前一种正好相反。本实训以顶部供水的达西仪为例进行介绍。
4.实验仪器及用品
1)达西仪(图B-3)。
2)量筒(500mL)1个。
3)秒表。
图B-3 达西仪装置图(顶部进水)(编号说明见图B-2)
4)捣棒。
5)试样:①砾石(粒径5～10mm);②砂(粒径0.6～0.9mm);③砂砾混合(①与②混合)样。
5.实验步骤
(1)实验前的准备工作
1)测量:分别测量金属圆筒的内径(d)，根据 计算出过水断面面积(ω)和各测压管的间距或渗透途径(L)，将所得ω、L数据填入表B-2中。
2)装样:先在金属圆筒底部金属网上装2～3cm厚的小砂石(防止细粒试样被水冲走)，再将欲实验的试样分层装入金属圆筒中，每层3～6cm厚，捣实，使其尽量接近天然状态的结构，然后自上而下进行注水(排水管2和水源5连接)，使砂逐渐饱和，但水不能超出试样层面，待饱和后，停止注水。如此继续分层装入试样并饱和，直至试样高出上测压管孔3～4cm为止，在试样上再装厚3～4cm小砾石作缓冲层，防止冲动试样。
3)调试仪器:在每次试验前，先给试样注水，使试样全部饱水(此时溢水管7有水流出)待渗流稳定后，停止注水。然后检查3个测压管中水面与金属圆筒溢水面是否保持水平，如水平，说明管内无气泡，可做实验。如不水平，说明管内有气泡，需排出。排气泡的方法是用吸耳球对准水头偏高的测压管缓慢吸水，使管内气泡和水流一起排出。用该方法使3个测压管中水面水平，此时仪器方可进行实验。
以上工作也可由实验室教师在实验课前完成。
(2)正式进行实验
1)测定水头:把水源5与排水管2分开，将排水管2放在一定高度上，打开水源5使金属圆管内产生水头差，水在试验中从上往下渗透，并经排水口流出，此时溢水管7要有水溢出(保持常水头)。当3个测压管水头稳定后，测得各测压管的水头，并计算出相邻两测压管水头差，填入表B-2中。
2)测定流量:在进行上述步骤的同时，利用秒表和量筒测量时间(t)内排水管流出的水体积，及时计算流量(Q)。连续两次，使流量的相对误差小于5%(相对误差(δ)= ，Q1、Q2分别为两次实验流量值，取平均值填入表B-2中。
表B-2 达西渗流实验报告表
3)按由高到低或由低到高的顺序，依次调节排水管口的高度位置，改变Ⅰ、Ⅱ、Ⅲ3个测压管的水头管读数。重复步骤1和2，做2～4次，即完成3～5次实验，取得3～5组实验数据。
实验过程中注意:①实验过程中要及时排除气泡，并保持常水头;②为准确绘制v-I曲线，要求测点分布均匀，即流量(水头差)的变化要控制适度。
(3)资料整理
依据以上实验数据，按达西公式计算出渗透系数值，并求出其平均值，填入表B-2中。
6.实验成果
1)提交实验报告(表B-2)。
2)抄录其他小组另外两种不同试样的实验数据(有时间时，可自己动手做)。在同一坐标系内，以v(渗透流速)为纵坐标，I(水力坡度)为横坐标，绘出3种试样的v-I曲线，验证达西定律。
复习思考题
1.当试样中水未流动时，3个测压管的水头与溢水口水面保持在同一高度，为什么?
2.为什么要在测压管水头稳定后再测定流量?
3.三种试样的v-I曲线是否符合达西定律?试分析其原因。
4.比较不同试样的渗透系数(K)值，分析影响K值的因素?
5.在实验过程中为什么要保持常水头?
6.将达西仪平放或斜放进行实验时，其实验结果是否相同?为什么?
嵌入式linux课程设计
Ⅰ 跪求 ARM嵌入式linux系统开发详解（珍藏版）pdf
珍藏版啊。。
Ⅱ 学嵌入式linux需要先学什么
刚入门的时候，淘宝买一块cortex m3开发板即可入手，通过项目，你需要了解：任务调度、进程间通信、内存管理、设备驱动、文件系统、TCP/IP协议栈、同步异步、中断、软件架构插件化等等基本原理，这些对你后面转Linux应用开发，安卓开发，后台开发大有好处。
到这一步，就看自己职业方向想往哪里发展，如果是想深入IOT物联网做端云连接，那么可以把几种基本总线驱动，I2C、SPI、USART理解透，如果是想拥抱互联网转入应用开发，那么可以把基础组件，如协议栈、文件系统吃透，BAT面试不是很难，问的都是这些基础。
顺便说一下，学东西就要学对市场有用的，不要过于学习屠龙之术，炫技给个人带来不了财富，公司需要的是能干活的人。
不准备讲过于偏硬件的知识如Cortex-M3的多种中断模式，操作寄存器组，芯片降噪等内容，而是专注于操作系统基本知识和项目经验，这些对于开发者后面接触Linux系统大有脾益，这些软件开发经验也是去互联网公司看重的能力。如有需要学习Linux命令请如下查找：
Ⅲ 基于linux嵌入式平台井字棋课程设计
基于linux嵌入式平台井字棋课程
这么肯定还好的
确
Ⅳ 跪求一份完整的嵌入式Linux方面的C项目实例
怎样的人适合学习嵌入式？
学习嵌入式需要有一定的基础，这些基础大概包括下面两点：
学过c语言，汇编；
对微控制器有一定了解。
一般理工类(计算机，自动化，电子类专业)的学生大三学比较合适。因为到了大三，一般学过了c语言及汇编，虽然大部分学生没有独立写过一个程序，但至少上过这门课，自己也看过相关知识点；而且上过8051等微控制器原理的课程，也看过类似的教课书。
具备以上基础的人，也不是谁都可以学。因为嵌入式学习门槛比较高，难度比较大，不但要有一定的毅力，而且要触类旁通，如果太死板也很难学会。
概括的说学习嵌入式还必备下列性格：
热爱研发！
切忌浮躁！
执着，顽强,自信！
举一反三！
如果你符合以上条件，完全可以经过努力把嵌入式学好，我了解到的在华清远见学习的一个同学，之前基本上什么基础都没有，写一个“hello world”程序都为难，编译了几次才通过，但是经过四个月的努力，在华清远见专业老师和同学们的热心帮助下，从一个完全的菜鸟变成了入门级别的linux工程师了，找到了一份做应用开发的工作，工资大概有四千吧，还算不错。
LZ要自学的话，可以多到华清远见的网站上看看他们的课程设置，就知道自己该学些什么，还有很多学习资料和视频可以下载，另外华清远见出版的40多本嵌入式专业畅销书，外面各大书店和图书馆都有，你都可以去翻翻看看。
祝你早日学有所成！
请参考，希望能帮到你。
Ⅳ 做嵌入式原理课程设计 linux内核精简 是什么意思，该怎么做
OK 我发给你 .
Ⅵ 求嵌入式linux开发详细流程（步骤）
建立以Linux系统为基础的开发环境；
配置开发主机（MINICOM调试嵌入式开发板、NFS网络文件系统，防火墙）；
建立引导装载程序BOOTLOADER（公开源代码的BOOTLOADER，如U-BOOT、BLOB、VIVI、LILO、ARM-BOOT、RED-BOOT等）；
下载别人已经移植好的Linux操作系统（如μCLinux、ARM-Linux、PPC-Linux等）；
建立根文件系统（包括：/etc/init.d/rc.S、/etc/profile、/etc/.profile等）；
建立应用程序的Flash磁盘分区，一般使用JFFS2或YAFFS文件系统；
开发应用程序，应用程序可以放入根文件系统中，也可以放入YAFFS、JFFS2文件系统中；
烧写内核、根文件系统、应用程序、发布产品。
Ⅶ 嵌入式Linux课程设计源代码
Linux课程体系了解一来下：
Linux云计源算网络管理实战
Linux系统管理及服务配置实战
Linux Shell自动化运维编程实战
Linux云计算网络管理实战
大型网站高并发架构及自动化运维项目
网站安全渗透测试及性能调优项目实战
公有云运维技术项目实战
企业私有云架构及运维实战
Python自动化运维开发基础
Python自动化运维开发项目实战
Ⅷ 嵌入式ARM/LINUX毕业设计
有办法的话找个附近的嵌入式公司选他们的板子在上面做个小扩展性开发。最好选嵌入式教授采购实验设备的代理 之类的，甚至可以“开发”一款他们已有的功能，抄一下写个论文即可。
Ⅸ 学习嵌入式linux流程
嵌入式学习是一个循序渐进的过程，有C语言基础还是比较好的，C++的话不搞上层应用就用不上，如果是希望向嵌入式Linux方向发展的话，关于这个方向，我认为大概分3个阶段：
1、嵌入式linux上层应用，包括QT的GUI开发
2、嵌入式linux系统开发
3、嵌入式linux驱动开发
嵌入式目前主要面向的几个操作系统是，LINUX，WINCE、VxWorks等等
Linux是开源免费的，而且其源代码是开放的，更加适合我们学习嵌入式。
你可以尝试以下路线：
（1） C语言是所有编程语言中的强者，单片机、DSP、类似ARM的种种芯片的编程都可以用C语言搞定），因此必须非常熟练的掌握。
推荐书籍：《The C Programming Language》 这本经典的教材是老外写的，也有中译版本。
（2） 操作系统原理，是必需的，如果你是计算机专业毕业那也就无所谓了，如果是非计算机专业的就必须找一本比较浅显的计算机原理书籍看一看，把啥叫“进程”“线程”“系统调度”等等基本问题搞清楚。
（3）Linux操作系统就是用C语言编写的，所以你也应该先学习下Linux方面的编程，只有你会应用了，才能近一步去了解其内核的精髓。
推荐书籍：《UNIX环境高级编程》（第2版）
（4） 了解ARM的架构，原理，以及其汇编指令，我们在嵌入式开发中，一般很少去写汇编，但是最起码的要求是能够看懂arm汇编。
（5） 系统移植的时候，就需要你从最下层的bootloader开始，然后内核移植，文件系统移植等。而移植这部分对硬件的依赖是非常大的，其配置步骤也相对复杂，也没有太多详细资料。
（6） 驱动开发
linux驱动程序设计既是个极富有挑战性的领域，又是一个博大精深的内容。
linux驱动程序设计本质是属于linux内核编程范畴的，因而是对linux内核和内核编程是有要求的。在学习前你要想了解linux内核的组成，因为每一部分要详细研究的话足够可以扩展成一本厚书。
以上只不过是大概的框架，在实际的开发中还会涉及很多东西，比如：交叉编译、makefile、shell脚本等等，所以说学习嵌入式的周期较长，门槛较高，自学的话更是需要较强的学习能力和专业功底。只要能坚持下来一定会取得成功！
其实LZ可以到一些嵌入式培训机构的网站上看一下他们的课程设置，就会在脑子里有个清晰的思路，比如华清远见的官方网站，上面的嵌入式内容很丰富，嵌入式方面的信息更新也很迅速，没事可以去转转。
Ⅹ 求嵌入式Linux 课程设计，随便什么题目，用C或C++写的！要有完整的源代码，有实验报告就更好了！
网上很多啊，自己去搜一个就好了，但是要改动一下，不然会重复的...弱弱的问一下，你是南京某高校的么?
0条大神的评论