打印

网站基本安全意识

本主题由水晶王子于 2007-12-5 23:50 设置高亮

a44557788

六级士官

积分: 2175
威望: 4885
元宝: 0
铜钱: 10258

1楼大中小发表于 2007-12-4 16:27 只看该作者

网站基本安全意识

第一网络隐患：万能密码的使用！
5 U( R; i! m% Z* d% v爱毒霸社区
$ }- h* s" y6 ?9 [- [, S 英文标点符号 '  组成的'or'='or' 输入语句，这就是通常所说的OR漏洞！
在后台管理文件当中，假如他们未过滤掉 '  字符，那么在接受USER，PWD变量时就会相当于断口的批漏，也就是OR漏洞，金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net6 x5 @6 P( |+ Z- d/ n: V3 l
这样就算拿不到WEBSHELL，但对这个网站的管理也会产生不小的“恶作剧效果”金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net6 t  Y: P9 Q+ V) [
该怎么弥补这个漏洞呢，很简单，只要在这个文件当中修改几处语句，过滤到这个符号，就可以' y9 \# d$ n. t- f% k2 X
修复OR漏洞！
Copy code

<% bbs.duba.net( W/ L/ w+ O+ Z1 X# A* A5 ~
user = replace(trim(request.form("user")),"'","")
pwd = replace(trim(request.form("pwd")),"'","") bbs.duba.net; t! t( C1 y* t/ y2 H+ N' P6 \+ r

因为每个文件的变量参数不一样,在后台输入密码的调用参数也会不一样，所以后面的参数调用，我就没法补全了！
8 b, R2 g, Q' W6 z  \8 j2 \2 A
第二网络隐患：默认数据库的下载！金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net& ?: U& O6 e1 H8 ^7 g* j) |/ u  V4 X
0 X' t/ W( T4 l3 g( ~; N5 g
   这个没什么好说的，就是使用各种网站设计时的默认管理路径漏洞来入侵的！[不过有一点要注意，后面讨论！]对于新手，我想你们在使用这个漏洞入侵的时候，应该有时会遇到数据库无法备份的情况吧,其他很简单,利用他原始的数据库恢复就可以让这个漏洞继续有效！方法略过，不在此讨论入侵！解决方案大体上，我分为三种：一种是修改他默认属性，一种是添在特殊字符，一种就是加密！
& q6 d5 Y( I; _% l0 N
第一种又可以分几类：在模版里面找到CONFIG，CONN[常见修复数据库的文件名]里面应该都有“中文说明”，所以大家注意下就可以了,修复数据库默认名，默认路径等！假如是自己做的空间提供共享服务的话，你可以试着修改数据库的默认后缀名MDB，你可以改为asp,asa等，这个呢，你还要在IIS当中修改这些后缀不可以被解析出来！
bbs.duba.net5 J2 u& v* V5 o4 P& v0 S/ I
第二种利用一些特殊字符，比如说“#”空格等！“#”在这里起到间断符的作用，地址串遇到#号，自动认为访问地址串结束。注意：不要设置目录可访问。用这种方法，不管别人用何种工具都无法下载，如快车，迅雷等！同理，空格号也可以起到“#”号作用，但必须是文件名中间出现空格。
金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net6 f! r) D7 G/ I! I
第三种数据库加密没什么好讲的，略过！
' p/ Y" Y0 B# j, _* h& ~7 p: E
第三种网络隐患：注入点入侵！爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net- W6 P9 i0 R. d1 G% }

什么注入点？如何发现注入点？这个我就不在此说明，有需要的可以短信问我，这里只简单讨论下弥补！我个人认为注入点入侵其实就是一个语法上的小小漏洞而已，或者说是此语句构造不够严谨造成程序的批漏！常用的SQL语法运算级别上的逻辑漏洞，COOKIES注入漏洞等！举个简单的例子：金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net, l$ y) b: k( m
user and psw 假如有一个出现错误，那这个返回值就是0，但我们改为 user or psw只要有一个是对的，我们就可以拿到1这个数值！在入侵过程中，用户的ID应该很容易拿到，PSW这个变量我们不需要知道，随便写一个,只要我们可以找到这个注入点完全可以享有跟管理员一样的权限！
上面只是简单的介绍下注入原理，想知道更全的那就baidu一下吧！那么如何弥补呢？反正SQL语句我也只是小菜菜，算了，反正有大哥帮忙写了些通用的弥补方法，跟我一样的新手们，暂时还是使用《SQL通用防注入程序》来弥补吧！金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net8 Y* d) Y: h2 J* B6 z0 {4 \0 A; Y3 `

总结：假如你找不到这个网站的后台地址，我想，入侵也就没那么简单了吧！当然你入侵服务器除外！
那下面告诉大家如何隐藏网站后台！通过搜索，我发现这个HTML代码可以做到把某一网页屏蔽到搜索引擎搜索能力之外
Copy code

<META NAME="ROBOTS" C>

爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net, [' a1 Y- q/ s  k6 f
爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具7 ^  d+ H" C* \! S
把这个HTML代码放到你的管理后台，这样就可以避免暴露在外面的风险！爱毒霸社区% {& Y6 t% U# y; x, A7 {3 o% e
当然假如你想彻底把自己的网站全部屏蔽，爱毒霸社区4 c1 a: Z; {& c2 s9 {  d% r" _
那你在你的服务器的根目录下创建一个robots.txt文件，
内容：爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具# ?8 F( |# r0 `
Copy code

User-Agent: *
Disallow: /

爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net* p+ T% V' i( {2 h7 g2 P( e0 ?
bbs.duba.net/ |/ E) P6 G% j7 G. C) j: l" y
前面那句，其实很多公司在做网站后台模版的时候，都已经加进去了...[也有些没有注意到]6 L- f- Q4 i3 Z: @# _% x7 ?* c
大家可以参看下PHPWIND模板，解压之后，你就可以看到里面也有个robots.txt文件) ?6 w- q" i! F3 s2 D; p9 j: g: u
金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net/ [4 R, Q0 y' r7 D) ~4 U7 J5 {
更高级的服务器入侵，由高手来解说吧！我闪~~~！爱毒霸社区9 T: x' B5 }2 R: P, x" q

提醒：
我有个徒弟再一次入侵中被挂了！被谁挂了？站长？其他管理员？呵呵，是被别的入侵者挂掉了！其实很简单，伪造一个后台登陆页面，使其挂马！这个大家一定要注意哦,不能没黑到别人，自己却反被黑，那可就有点呜呼唉哉啦~~~！爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net1 O; U% z- D& w9 X

题外话：我把一些常用的数据库相对路径的地址发给大家，方便新手添加挖掘机来挖数据库嘛~~！爱毒霸社区4 R8 m x- k' M
Copy code

database/PowerEasy4.mdb #动易网站管理系统4.03数据库bbs.duba.net$ |  w; \# o2 ?% ~1 O( Y
database/PowerEasy5.mdbbbs.duba.net% t: i3 d& C* ^
database/PowerEasy6.mdb
database/PowerEasy2005.mdb爱毒霸社区7 p2 q1 r2 U+ y( U+ Z8 m
database/PowerEasy2006.mdb爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具; x+ A9 x1 V7 L1 @# r5 t2 x  w, u
database/PE_Region.mdb
data/dvbbs7.mdb #动网论坛数据库
databackup/dvbbs7.mdb #动网论坛备份数据库bbs.duba.net, R- p% B* ~, t, m% J
bbs/databackup/dvbbs7.mdb #动网论坛备份数据库
% ?0 h$ s% t5 Y2 a% z: E爱毒霸社区data/zm_marry.asp #动网sp2美化版数据库
databackup/dvbbs7.mdb爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net, \0 w; e( t' N. C
admin/data/qcdn_news.mdb #青创文章管理系统数据库
firend.mdb #交友中心数据库爱毒霸社区-是中国金山毒霸杀毒软件专业社区,提供金山毒霸2009,金山毒霸2008,金山毒霸2008下载,在线杀毒,金山清理专家,专杀工具等产品信息,有流行病毒,木马专业查杀解决方案,为广大金山毒霸用户和电脑安全知识爱好者提供免费的互动社区,爱毒霸社区-成为中国知名杀毒社区,灰鸽子专杀, 做中国杀毒软件最用心社区-bbs.duba.net0 `- d- Y! i  t4 J7 y5 G/ ~
database/newcloud6.mdb #新云管理系统6.0数据库
/ O: X% b9 d- abbs.duba.netdatabase/%23newasp.mdb #新云网站系统
blogdata/L-BLOG.mdb #L-BLOG v1.08数据库
blog/blogdata/L-BLOG.mdb #L-BLOG v1.08数据库
# {; u8 H2 m; B/ f# Rdatabase/bbsxp.mdb #BBSXP论坛数据库金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net: b: D3 N  y/ j% z/ Z- W
bbs/database/bbsxp.mdb #BBSXP论坛数据库
access/sf2.mdb #雪人论坛程序v2.0数据库
; [, h1 O/ f( f1 D! H5 }bbs.duba.netdata/Leadbbs.mdb #LeadBBS论坛 v3.14数据库
bbs/Data/LeadBBS.mdb #LeadBBS论坛 v3.14数据库爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具' R4 @+ ?- M0 a' q6 S0 b6 ~
bbs/access/sf2.mdb #雪人论坛程序v2.0数据库爱毒霸社区: k/ |" B7 s/ N
fdnews.asp #六合专用BBS数据库, @. x6 g- J& A) Q: u) z
bbs/fdnews.asp #六合专用BBS数据库
$ h# {; G# X% {爱毒霸社区admin/ydxzdate.asa #雨点下载系统 v2.0+sp1数据库
data/down.mdb #动感下载系统xp ver2.0数据库
4 e+ o1 g- Y- E, r; C爱毒霸社区data/db1.mdb #动感下载系统xp v1.3数据库
  P2 z# F3 X: y6 x& Qdatabase/Database.mdb #轩溪下载系统 v3.1数据库
db/xzjddown.mdb       #lhdownxp下载系统数据库bbs.duba.net4 r$ K. k/ B, ^% A% A3 e
db/play.asp          #娱乐先锋论坛 v3.0数据库
0 ~5 K, z3 j% k0 z/ F0 Mbbs.duba.netmdb.asp             #惊云下载系统 v1.2数据库爱毒霸社区2 H: J" }+ ~% @
admin/data/user.asp #惊云下载系统 v3.0数据库金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net8 [- D5 R& G. Q2 s$ R6 K. A
data_jk/joekoe_data.asp #乔客6.0数据库
* k" S; r/ u- D8 X, abbs.duba.netdata/news3000.asp    #沸腾展望新闻系统 v1.1数据库bbs.duba.net. R4 b2 [5 M( a( o
data/appoen.mdb       #惠信新闻系统4.0数据库
data/12912.asp       #飞龙文章管理系统 v2.1数据库
database.asp          #动感极品下载管理系统 v3.5bbs.duba.net5 u& E. c# `7 B2 h9 q( R+ L6 L
download.mdb          #华仔软件下载管理系统 v2.3爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具8 t' h9 O9 V! a! t  m: x1 ]( ^
dxxobbs/mdb/dxxobbs.mdb #dxxobbs论坛数据库
* n- S) V8 @7 d" A7 Mdb/6k.asp          #6kbbs    用户名:admin  密码:6kadmin爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具% N6 h2 v( s/ g. H! z- U9 _
database/snowboy.mdb  #雪孩论坛  默认后台admin/admin_index.asp
database/%23mmdata.mdb  #依爽社区
8 ?2 |/ V4 c1 h: \$ B爱毒霸社区editor/db/ewebeditor.mdb #eWebEditor默认数据库  用户名:admin  密码:admin8882 u, S- W" f! E- u& t
eWebEditor/db/ewebeditor.mdb

其实有条件的尽量自己找主机做服务器，少用虚拟空间。这样你可以以更高级权限来进行配置。比如设置目录访问权限，限制MDb文件的下载，不允许上传目录执行脚本，修改或屏蔽错误提示（这个可以专门对付挖掘机之类）等等。这样服务器会更安全。
金山毒霸-爱毒霸社区-做中国杀毒软件最用心社区-bbs.duba.net: ~0 B* p& ~% ~

==========================================================================爱毒霸社区,金山毒霸,金山毒霸2009,金山毒霸2008,金山毒霸2008下载,杀毒软件,杀毒论坛,在线杀毒,毒霸论坛,木马,木马专杀,免费杀毒软件下载,金山毒霸通行证,毒霸,AV终结者,灰鸽子,磁碟机,专杀工具6 t! a a9 e5 f4 _) T
还有些漏洞入侵，但我个人没法给出比较详细的弥补方法，所以也就只好留到下次写了！本文只讨论网站漏洞的一些弥补方法，希望可以给那些新手站长一些帮助！