当前位置:搜启云 > 网站建设 > [网站漏洞扫描]对网站漏洞扫描与检测的过程与步骤

[网站漏洞扫描]对网站漏洞扫描与检测的过程与步骤

发表日期:2019-10-30

  天气越来越凉爽,在对客户网站代码进行浸透测验,缝隙测验的一起咱们SINE安全浸透技能要对客户的网站源代码进行全方位的安全检测与审计,只要真正的了解网站,才干更好的去浸透测验,发现网站存在的缝隙,尽可能的让客户的网站在上线之前,安全防护做到最极致.在后期的网站,平台快速发展进程中,防止严重的缝隙导致的经济损失.
 
  首要共享一下咱们SINE安全前段时间对客户的金融平台的浸透测验进程,在审计代码的时分发现了问题,首要看到的是客户网站选用的php言语+mysql数据库,前端还使用了VUEJS结构,在进行浸透测验前,咱们要检查客户网站的源代码是否加密以及混淆,再一个查看php文件是否对应的URL地址,是调用的,仍是单独的PHP功用页面,还有入口文件和index.php首页访问页面的代码是否共同化.接着要了解的是整个金融平台网站的目录,都包含哪些功用目录,这次咱们检查到的,客户网站有会员注册功用,头像上传功用,银行卡增加,充值,提现,出资记载,意见与反馈,个人资料修正等等功用.
 
  咱们SINE安全在进行网站代码的安全审计,选用的审计方法是敏感函数以及传输值的追踪与调试的方法去查看代码是否含有歹意代码以及存在的缝隙危险,是否可导致产生网站缝隙,包含一些逻辑缝隙,垂直,平行越权缝隙的产生.
  在大体的代码审计一遍后发现有些PHP文件存在SQL注入缝隙,没有开关闭合引号,导致能够前端传入歹意的参数值,并传入到数据库中进行履行,尤其新闻布告栏目里newxinxi.php?id=18,打开后是直接调用数据库里的新闻内容,可是ID这个值没有约束输入中文以及特别字符,导致直接履行到后端的数据库傍边去了,咱们SINE安全技能随即对客户的网站缝隙进行了修正,约束ID=的值为数字,不允许输入中文等特别字符.在充值,以及提现功用里,咱们发现客户的网站代码并没有对数字的正负号进行约束,导致能够输入负号进行充值,以及提现,在实践的浸透测验中发现提现中输入负数,能够导致个人账户里的金额增加,后台并没有审阅提现的功用.而是直接履行了提现功用.
 
  网站还存在长途履行代码写入缝隙.可导致网站被上传webshell,进而导致网站的权限以及服务器的权限被拿下,用户数据被篡改被泄露都是能够发作的.咱们来看下这个代码,如下图:
 
  咱们来看下这个变量值是怎么写,怎么赋值的,$page,$dir=dirname(__FILE__).‘/./backup/’这个backup便是自界说的备份目录.dirname便是输出的文件名,当咱们用helper去界说这个类的时分,就会调用代码里的IF语句,判断条件是否满足,假如满足就能够导致长途插入歹意代码,或构造歹意的代码去履行,并输出歹意文件到网站目录中,像webshell都是能够的.以上是咱们SINE安全在对客户网站进行浸透测验服务中发现的一部分缝隙,以及怎么做的代码安全审计,缝隙测验进程的共享,,假如网站在运转中出现了被进犯,数据被篡改等进犯问题,能够找专业的网站安全公司来进行浸透测验服务,国内SINESAFE,绿盟,启明星辰,都是比较不错的,安全防患于未然,发现缝隙,修正缝隙,促使网站在上线之前安全防护做到极致,网站安全了,用户才干用的安心,也希望更多的人了解浸透测验服务.

相关网站设计案例

相关新闻

[热门关键词]如何将一个热门关键词瞬间做上首页排名

标题十分重要的,比方上篇文章的关键词是“百度金矿”,我们都知道百度金矿...

日期:2019-12-27

[低价网站建设]谈谈企业应如何避免低价网站建设制作猫腻?

为节约成本的需要,贱价的模板网站是不会帮你设置查找关键字,乃至会直接选...

日期:2019-12-27

[百度seo排名软件]学SEO:百度seo排名点击软件能提升排名?

优质IP不是电影、电视剧优质内容的开发,创作;优质IP即契合用户正常查找的...

日期:2019-12-27

[推广平台有哪些]网络营销推广平台有哪些?

在写之前先不要急着下手,你能够经过产品订单反应、用户留言、用户人群画像...

日期:2019-12-27

[排名优化公司]网站排名优化SEO公司

企业只需供给高质量的产品,富士4在中国的售前票房已成功超越1亿元,创下SE...

日期:2019-12-27

[怎么样网络推广]网络推广怎么样做能有效提升效果?

在咱们公司注册入驻百度爱收购渠道之后,你能够有两个挑 R桓鍪亲约杭以惫...

日期:2019-12-27

[惊雷算法]惊雷算法:快速排名的原理与弊端

3.补位算法操作。使用体系查找点击很多长尾词,来带动分词、主词和目标关键...

日期:2019-12-27

[推广平台有那些]企业网站有哪些优化推广方法

主要经过微博、QQ空间来找到自己的客户,比方咱们打开竞争对手的QQ空间,即...

日期:2019-12-27

[网络营销论坛]网络营销活动之论坛营销

在网络营销阶段中,客户才是真实的核心。只有做好充沛的调研预备,依据行...

日期:2019-12-27

[关键字的优化教程]SEOSEO关键字的优化教程

3、页面的文本里,多次呈现这个要害字,并在第一次呈现时,加粗;这是一个...

日期:2019-12-27

收缩
  • 电话咨询

  • 18520102000