1、网站配置
（1）目录型网站安全
bbs.xiaodi8.com dz论坛 #该域名下有一套网站程序，dz论坛
bbs.xiaodi8.com/blog wp程序 #该域名的某个目录下也配置了一套网站程序
总结：一个网站，两个程序，其中任何一个程序出现漏洞，都可以进入安全测试（同一服务器）
（2）端口型网站安全
bbs.xiaodi8.com dz论坛
bbs.xiaodi8.com:8081 zblog程序 #该域名通过端口也配置了一套网站程序
总结：一个网站，两个程序，其中任何一个程序出现漏洞，都可以进入安全测试（同一服务器）
（3）同一服务器架设多个站点安全
bbs.xiaodi8.com 指向47.242.4.23
edu.xiaodi8.com 也指向47.242.4.23
总结：一个网站配置了多个域名，给到目标为bbs.xiaodi8.com，也可以尝试对服务下edu.xiaodi8.com进行安全测试，都属于同一个服务器。
（4）第三方插件接口安全
插件：WEB源码自身的插件； WEB应用插件（phpmyadmin：便于管理数据库）
服务器上安装的插件越多，面临安全问题就越多。虽然方便管理人员进行数据库管理，但也方便攻击者进行攻击数据库的可能
（5）服务器架设多个应用安全
比如：服务器应用ftp，方便管理人员进行文件操作，也方便攻击者进行攻击FTP协议服务
http://139.59.9.234/ #攻击网站本身
ftp 139.59.9.234 #攻击ftp协议（基于漏洞、弱口令、其它）
2、番外安全
（1）基于域名解析安全
攻击者找到该域名注册商——>爆破对方域名管理平台的账号密码——>修改域名解析指向的ip地址，实现域名劫持
（2）基于服务器本身安全
攻击者爆破对方域名管理平台的账号密码，直接攻击服务器
（3）基于服务商信息安全
（4）基于管理个人的安全
利用社会工程学：发带有木马的链接，对方点击后，电脑被注入木马，利用浏览器缓存的账号密码直接登录服务器进行攻击
3、考虑阻碍-站库分离&CDN&WAF&负载均衡&主机防护
（1）站库分离
网站源码和数据库没有放在同一台服务器
（2）CDN 加速服务
就是将缓存放在离你最近的节点上（非网站真实IP），攻击的是缓存，对真实IP没有影响
（3）负载均衡服务
防止某一台服务器崩溃或者被攻击，用多台服务器做备用机。安全测试中有可能只拿到的是备用机权限（非主控机权限）
（4）WAF 应用防火墙 （网站应用防火墙）
有效拦截SQL注入、XXS跨站攻击、恶意代码、网站挂马等常见攻击、过滤恶意访问。降低数据泄露的风险，保障网站可用性。
（5）主机防护防火墙
主机防护：拿到主机权限后，向服务器上传了文件或执行了什么文件，主机防护就会报警
服务器安全狗：拿到主机权限后想下一步通过网站权限提权，服务器安全产品开始制止。