网站暴露面
检查 HTTPS、HTTP 安全响应头、公开服务信息与基础访问行为，为后续深度测试确定重点。
面向 IDC 客户的网站与服务器安全审计
看清风险，
再决定如何加固。
从公网暴露面到服务器基础配置，建立可核验的风险清单。每项发现都附带影响说明与整改方向，让安全投入有据可依。
授权范围明确 · 低影响检查 · PDF 报告交付
SECURITY POSTURE / 01 ANALYSIS READY
⌁ASSET
VISIBILITY
VISIBILITY
01资产与授权
范围确认
范围确认
02网站与服务器
配置诊断
配置诊断
03风险解释
整改建议
整改建议
EXPOSURE → EVIDENCE → ACTIONVERIFIED SCOPE
为高可用业务设计的审计流程
01 明确授权
02 控制影响
03 留存证据
04 推动整改
WHAT WE REVIEW / 审计内容
让风险从“可能存在”
变成可以处理。
从客户授权的目标出发，先建立可见范围，再检查配置与暴露面。高风险项目需要单独约定窗口、测试强度和回退条件。
服务器基础配置
通过临时受限账号读取操作系统、内核和监听服务等基础信息，不要求客户提供 root 凭据。
风险报告与复核
提供可下载 PDF：记录检查范围、证据、风险描述与整改建议，并说明未覆盖的领域。
当前线上自动检查范围：网站首页 HTTP/TLS 基础检查与受限 SSH 诊断。SQL 注入、XSS、权限绕过等深度测试需单独授权与测试窗口；本版本不声称已覆盖这些项目。
OUR METHOD / 服务流程
审计有边界，
结论才可信。
每一步都留下可复核的信息。检查内容、目标和时间窗口由客户确认，报告区分已验证发现与待人工复核事项。
01确认授权与目标域名控制验证、服务器身份核对、约定审计范围。
02建立临时访问在客户服务器上创建受限 SSH 诊断账号，审计后可删除。
03执行低影响检查限制请求量与执行时间，记录检查依据和结果。
04交付报告与整改下载 PDF，依据风险优先级推进修复和复审。
GET STARTED / 开始审计
几步完成审计准备。
请仅提交你有权授权审计的资产。网站域名与服务器可以不同；系统会分别核验域名控制和服务器 SSH 主机密钥。
01
验证你的网站域名
先生成一次性验证值，再到域名的 DNS 管理页面添加 TXT 记录。
02
在服务器创建临时诊断账号
适用于使用 OpenSSH 的 Ubuntu、Debian、CentOS。需要在客户服务器上以 sudo 权限执行一次。
操作方法
- 通过你平时使用的 SSH 工具登录服务器。
- 先下载并检查脚本，再执行：
curl -fsS https://kali.doge420.com/audit-account.sh -o audit-account.sh，less audit-account.sh，sudo sh audit-account.sh。 - 按提示自定义用户名和至少 16 位的密码。密码输入时不会显示；复制最后打印的 SSH 主机密钥指纹和删除命令。
建议先下载脚本并人工检查，再以 sudo 执行。审计结束后，运行脚本最后打印的删除命令。
此账号没有 sudo 权限，SSH 会强制执行固定的只读诊断程序。创建与删除账号会修改服务器访问配置；审计程序本身仅读取基础信息。
03
提交审计目标
填写服务器访问资料。传输必须经过 HTTPS，首次连接会核对服务器主机密钥指纹。