恰好我是做安全的，给你列一份测试清单，希望能够帮到你：
1. 先阅读
https://xz.aliyun.com/t/7492 ，测试网站是否存在链接中存在的漏洞。
2. 使用 dirshearch ，github 上能找到该项目，对网站进行目录扫描，看是否存在其他敏感文件，比如网站的备份文件，部署网站测试的时候遗留的 phpinfo 等文件以及其他不应该被用户看到的文件。
3. 下载安装并使用 nmap 工具，对主机进行全端口探测，看下开放了哪些端口，有没有其他网站运行在非 80 端口。如果有其他网站，尤其是自研的这种，使用 AWVS 进行 web 漏洞扫描。如果存在 ssh ，mysql 等服务，能通过远程连接的，使用 hydra 跑一下口令，避免出现弱口令。
4. 下载并安装 nessus ，官网可以自行搜索，免费版可以扫描 15 台主机，足够用了。使用该工具对网站进行全端口扫描。这个工具会检测出操作系统是否存在漏洞，以及端口对应的软件或服务是否存在漏洞，例如 nginx ，apache ，mysql 等。注意扫描的时候，要使用网站服务器的真实 IP ，如果网站有域名，又有 cdn ，就不应该直接把扫描目标设置成域名，不然扫描的主机是 cdn 服务器了。
只需以上四步，即可评估单台服务器的安全性。范围既包括了主机漏洞也包括了 Web 程序漏洞。