锐客网

  1. 首页 > 睿知 > >

网站安全测试怎么测 如何检测网站漏洞

睿知生活知识

如何检测网站漏洞(如何测试网站安全性)
最近很多网站都受到了各种形式的攻击 。黑客的动机不一样，黑客的目标也不确定 。作为一个企业的网络管理员或CEO，你担心自己的网站会遭遇同样的命运吗？
图片来自互联网
什么样的网站容易被黑？
有人说我是个低调的人 ， 不能做罪人 。自然没人会黑我 。事实上，即使你没有竞争对手雇人黑你，也会有好奇或无聊的黑客想练练技术入侵你的网站一探究竟 。
所以，什么样的站容易被黑 。不是坏人的站，是有漏洞的网站 。
无论你的站点是动态站点 ， 比如asp、php、jsp还是静态站点，都有被入侵的可能 。
你的网站容易受到攻击吗？你如何知道你的网站是否容易受到攻击？
普通黑客主要通过上传漏洞、暴露库、注入、旁注等方式入侵近70%的网站 。当然还有更高级别的入侵 。一些黑客跟踪一个网站几个月来寻找入侵点 。下面我们重点来看看这些容易被黑的网站 。
1.上传漏洞
这个漏洞是DVBBS6.0时代黑客利用的最猖狂的一个 。利用上传漏洞可以直接获取WEBSHELL ， 危害极大 。现在，上传漏洞也是入侵中常见的漏洞 。
解释:
在网站地址栏的URL后添加/upfile.asp 。如果显示上传格式不正确【重新上传】 ， 则80%存在上传漏洞 。找一个可以上传的工具就可以直接得到WEBSHELL 。
工具简介:
上传工具，老兵的上传工具 ， DOMAIN3.5，这两个软件都可以达到上传的目的，也可以用NC提交 。
专家解决方案:
什么是地狱？很多人不理解 。这里简单说一下 。其实WEBSHELL也没什么深奥的 。是WEB的一个权限，可以管理WEB，可以修改主页的内容，但是没有什么特别高的权限 。(这取决于管理员的设置 。)一般修改别人的主页都需要这个权限 。接触过网页木马的朋友可能知道(比如老兵的站长助理就是网页木马海洋2006，也是网页木马)这就是我们的上传漏洞最终传播的东西 。有时候权限设置不好的服务器可以通过WEBSHELL获得最高权限 。
专家提醒:
大部分网站的程序都是在公开程序的基础上修改的，程序总有漏洞 。聪明的站长要学会熟练掌握以上工具，时刻关注自己web程序的最新漏洞 。并使用以上工具进行自检，保证网站的安全性 。
2、图书馆:
许多网站都有这个漏洞可以利用 。非常危险！
解释:
公开数据库意味着提交字符以获得数据库文件 。黑客拿到数据库文件后，直接有权进入网站的前台或后台 。例如，一个站点的地址是http: //www 。XXX.com/dispbbs.asp?BoardID=7&ID=161，黑客可以把com/dispbbs中间的/改成%5c 。如果有漏洞 ， 他们可以直接获取数据库的绝对路径，用迅雷什么的下载 。另一种方法是使用默认的数据库路径http: //www.xxx.com/后跟conn.asp 。如果不修改默认的数据库路径 ， 就可以得到数据库的路径(注意:/这里也改成%5c) 。
专家解决方案:
为什么改成%5c:因为/在ASCII码中等于%5c ， 有时候会碰到数据库名/# abc.mdb ， 为什么下载不了？这里，你需要把#号改成%23才能下载 。为什么我分解的数据库文件是基于？在ASP的最后？我该怎么办？在这里，你可以改变 。ASP到 。MDB，这样就可以下载了 。如果仍然无法下载 ， 可能会被阻止下载 。
专家提醒:
数据库永远是黑客最感兴趣的东西 。数据库安全并不是每个程序员在编程时都能充分考虑到的 。上线后要找专业的安全公司进行数据库渗透测试，保证数据库安全 。
3.注入漏洞:
这个漏洞是现在使用最广泛的漏洞，杀伤力很大 。可以说微软官网存在注入漏洞 。
解释:
注入漏洞是因为没有严格禁止字符过滤，可以获取管理员的账号密码等相关信息 。
【网站安全测试怎么测 如何检测网站漏洞】专家解决方案:
我先介绍一下如何查找漏洞，比如这个网站http: //www.xxx.com/dispbbs.asp？BoardID=7&ID=161后面是以ID= number形式结尾的站 。我们可以手动在后面加一个and 1=1看是否显示正常页面加一个and 1=2看是否返回正常页面说明没有漏洞，如果返回错误页面说明有注入漏洞 。如果加上and 1=1返回错误页 ， 说明没有漏洞 。如果我们知道站点中是否有漏洞，我们就可以利用它 。

    推荐阅读


    上一篇：旺仔小馒头三个月的泰迪能吃吗 大家可以了解一下

    下一篇：看地图左边是东还是右边是东