完整web渗透测试框架当需要测试的web应用数以千计，就有必要建立一套完整的安全测试框架，流程的最高目标是要保证交付给客户的安全测试服务质量。
确定范围：规划测试目标的范围，以至于不会出现越界的情况。确定规则：明确说明渗透测试的程度、时间等。确定需求：渗透测试的方向是web应用的漏洞？业务逻辑漏洞？人员权限管理漏洞？还是其他，以免出现越界测试。
测试方法：在URL中输入一定数量的“../”和“./”，验证系统是否ESCAPE掉了这些目录跳转符。
简单说来，非法入侵的方式可粗略分为4种：扫描端口，通过已知的系统Bug攻入主机。种植木马，利用木马开辟的后门进入主机。采用数据溢出的手段，迫使主机提供后门进入主机。
端口是英文port的意译，可以认为是设备与外界通讯交流的出口。端口可分为虚拟端口和物理端口，其中虚拟端口指计算机内部或交换机路由器内的端口，不可见。例如计算机中的80端口、21端口、23端口等。
端口：23 服务：Telnet 说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。
肯定查到的，因为犯罪了，而且是银行，影响太大了。
从软件人才层面上来讲像这样大的金融机构，聚集的都是世界上顶尖的软件人才，黑客很强，但对手并不弱。
没有证据证明它没有银行；成功攻击银行银行也许哑巴吃黄连，不会爆出，因为可以引起用户恐慌影响自己业绩；银行不是那么好惹的，无论国有私有银行，范围广、性质严重的事件可能导致国家机器介入，对犯罪分子不利。
搞银行罪很重 银行是内部网络，互联网上无法直接黑入。
1、渗透测试怎么做，一共分为八个步骤，具体操作如下：步骤一：明确目标确定范围：规划测试目标的范围，以至于不会出现越界的情况。确定规则：明确说明渗透测试的程度、时间等。
2、渗透测试 (penetration test)并没有一个标准的定义，国外一些安全组织达成共识的通用说法是：渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。
3、渗透测试是一种最老的评估计算机系统安全性的方法。在70年代初期，国防部就曾使用这种方法发现了计算机系统的安全漏洞，并促使开发构建更安全系统的程序。
