除开运用好透明化信息内容外，还须要串成所有网络安全产品来创造较大竞争优势。每一

个系统漏洞抽象化而言是存有不同形状的，例如网站文件目录的文档泄露他实质上是在网站文

件目录储放了某些能被浏览的文档、反序列化系统漏洞通常是引入了某些实例化的包或类、SS

RF通常是最后基本参数传到了request变量、比较敏感信息内容泄露通常是回应內容的包含特

殊文件格式的隐秘数据这些。由于系统漏洞存有不同形状，因而不同的系统漏洞须要在不同的

环节或层级检测才可以获得最优解。每一个环节的白盒子工作能力都是有各有的竞争优势此外

也是有各有的局限性。而大家便是要从点射互不相关的白盒子系统漏洞发觉转为连动系统化的

系统漏洞发觉，将局限性限定到最少，将每个竞争优势集合起来充分发挥较大 的竞争优势。

 

 

除开透明化的白盒子和连动核心层环节的网络安全产品是甲方公司安全性神器外，此外一个竞

争优势便是发布前的系统漏洞发觉。在我们在发布前开展系统漏洞发觉时，大家的竞争者是我

们自己，在我们在发布后开展系统漏洞发觉，大家的竞争者便是所有互联网技术的白帽、黑灰

产，用发展战略将竞争优势充分发挥到完美，沒有战术上和另一方大比拼，因而发布前的系统

漏洞发觉务必做为甲方公司安全性的基本认知能力维持一致。为有利于事后安全性行业内沟通

交流和了解统一性，大家将这一基础理论界定为甲白乙黑（自然如果你觉得做安全性的人感兴

趣造专有名词也行），并由下列两个界定构成：

 

 

甲方公司具体系统漏洞发觉应依照白盒子方法开展，总体目标是在发布前运用各环节或层级的

网络安全产品发觉所有已经知道系统漏洞。包含网站域名、IP地址、服务器端口、服务、源代

码、依靠、服务器、数据流量、数据接口、逻辑关系、网站数据库等。

 

承包方具体系统漏洞发觉依照黑盒子方法开展，总体目标是发觉尽量多的高风险系统漏洞并再

次横纵拓展。包含网站域名爆破、端口扫描工具、服务鉴别、漏洞扫描系统等。

 

 

这儿顺带插几句错误观念，说到甲方公司得用透明白盒子核心理念发觉系统漏洞，很多人便会

想起根据扫描源代码的方法发觉系统漏洞、或是某些商业服务扫描软件会将甲方公司数据流量

导到黑盒中填补黑盒漏扫抓取不全的现象，也是有某些企业会用HIDS收集服务器的系统漏洞

，那这就是甲白乙黑基础理论的使用吗？说归属于的确也归属于，但使用的比较初中级且粗浅

。许多情况下做安全性的人存有一种莫名其妙的自豪感，总觉得自己做的更强他人全部都是垃

圾，听见他人干什么如何做的情况下便会把自己做的潜意识的往上靠觉得自个也达到了，却不

知道仅仅有这么点相交但核心理念上天差地别，安全性行业缺乏一整套公开化的体制来检测或

对比安全性水位。例如拼多多平台和京东商城看起来都能买东西，但在买东西方法、性价比高

、配送高效率上很不同。这造成的严重后果是沒有理论创新很有可能下一次管理决策时就走

偏了，许多企业全部都是看他人家有哪些就干什么，针对很多人而言使用安全性不便是黑白灰

盒上一整套、SDL干一干，这类沒有基础理论支持的作法会造成 在做管理决策的情况下挑错

方向。同样的道理使用在其他行业也是一样的，在每个环节堆了某些网络安全产品就叫深度攻

击防御了？干了IAST便是安全性横切面了？干了最好安全性配备实践活动便是内部安全性了

？见到某一系统漏洞多就去处理某一系统漏洞便是木桶原理了？企业由于系统漏洞造成发生

安全事故,便是沒有绝对的安全性了？