如何检测网站的安全性

Question

一个项目，服务端用的是PHP，没有用任何框架，代码托管在BAE，所以安全性这块得自己做。

因为代码托管在BAE，我们暂时不需要考虑服务器的安全性，所以我所指的安全性可能更多地是指代码安全性这一块

但是之前没有很系统地了解过这一块要怎么做，只是零零散散地对一些常见的可能的攻击点做了处理：XSS、SQL注入等。

但是，只靠自己东拼西凑感觉总是没底。我想知道有没有一套系统的安全性测试的流程或者标准来评估自己网站的安全性呢？

或者说，有没有朋友可以分享一下自己在处理这类问题的一些心得？

Answer 1

360的网站检测：http://webscan.360.cn/
还有鸟哥的taint拓展：http://pecl.php.net/package/taint

Answer 2

给你的领导说，使用乌云众测：http://test.wooyun.org

Answer 3

想要检测网站的安全性其实还是比较简单的，
　　1、使用IIS7网站监控工具，进入到IIS7站长之家官网，在首页点击右上角“网站监控”，
　　2、进入IIS7网站监控工具页面，输入你需要检测的网站域名，点击“提交检测”，
　　3、查看检测结果，我们可以看到网站是否被劫持、域名是否被墙、DNS污染检测、网站打开速度检测、网站是否被黑、被入侵、被改标题、被挂黑等信息。
　　4、查看检测出来的每一项是否符合自己的网站，是否正常。