优发国际

企业网站建设要注意的安全问题

来源:常见问题 2019-04-11

网站程序方面应注意的问题;以防被入侵;

 

1、查找注入,注意数据库用户权限和站库是否同服。

 

2、查找XSS,最近盲打很流行,不管怎样我们的目的是进入后台。

 

3、查找上传,一些能上传的页面,比如申请友链、会员头像、和一些敏感页面等等,注意查看验证方式是否能绕过,注意结合服务器的解析特性,比如典型的IIS6.0、阿帕奇等。

 

4、查找编辑器,比较典型的ewebeditor、fckeditor等等。

 

5、查找phpmyadmin等管理程序,可以尝试弱口令,或者寻找其漏洞。

 

6、百度、谷歌搜索程序公开漏洞。

 

7、猜解文件,如知道某文件为admin_login.php,我们可尝试admin_add.php、admin_upload.php文件是否存在,也可以谷歌搜索site:cnseay.com inurl:edit等等,很多时候可以找到一些敏感文件,接着看是否验证权限或能否绕过验证,这像冰风说高级语法。

 

8、会员注册、修改、删除、评论等一切需要操作数据库的地方记得加单引号之类查看是否存在insert、update等类型注入。

 

9、会员或低权限管理登陆后可抓包分析,尝试修改超级管理员密码,权限提升。

 

10、通常有下载功能的站我们可以尝试修改下URL文件名,看能否下载站点敏感文件,如数据库配置文件等,数据库不可外连情况下可以尝试数据库密码登陆后台,也可下载上传、登陆验证等文件进行代码审计。

 

11、备份文件和后门,某些主站子目录存在分站,比如polymerday.com/seay/,我们可以尝试polymerday.com/seay.rar/zip等压缩文件是否存在,可能就是子站的源码。也有一些站类似这样polymerday.com/old/,一般都是以前的老站,通常老站比较容易拿。还有就是数据库备份、前人的后门等,具体这些目录上的东西就要看你的字典了。


12、0day漏洞,不管是别人给你的,还是自己挖的,总之好使就行。

 

服务器方面应注意的问题:

 

1、通常先扫下服务器开放的端口,再考虑对策。

 

2、比较常见的解析漏洞,比如IIS6.0、阿帕奇、nginx/IIS7.0(php-fpm)解析漏洞等,还有就是cer、asa之类的解析,.htaccess文件解析配置等。

 

3、弱口令和everyone权限,先扫描服务器开放的端口,比如21对应的FTP、1433对应的MSSQL、3306对应的MYSQL、3389对应的远程桌面、1521对应的Oracle等等,平时可以多搜集下字典,有时候效果也是不错的(通常在cain嗅探的时候,经常能嗅到别人不停的扫很蛋疼)。

 

4、溢出,这点要看系统补丁和服务器使用的软件等等,比如FTP等工具,这里不详解。

 

5、针对一些服务器管理程序,比如tomcat、jboss等等,这种比较常见于大中型的站点服务器。

 

6、IIS、apache等各种漏洞,这个要平时多关注。

 

       7、目录浏览,服务器配置不当,可直接浏览目录