最近一直在忙着项目，公众号也有很久没更新了,在此我给大家深表歉意。毕竟大三狗了。下半年就要滚蛋实习了。然后就在搞点项目，应聘的时候多一点竞争力。废话少说，直接进入正题。
web安全现在是网络安全的不可或缺的重要一部分,也是许多站长最为头疼的问题。很多黑帽子,获得了网站的权限并没有提醒管理员修补漏洞。
而是拿到webshell以后用于非法牟利或者提权获得服务器用于扫描、攻击等非法用途。
所以本人在此郑重强调我们入侵网站以后一定不要非法修改网站数据或者恶意添加后门 应该在力所能及的范围内修改已知的漏洞。
并且提醒管理员修改漏洞。具体大家可以去查看下“黑客守则”
1.注入漏洞
这个漏洞是现在应用最广泛，杀伤力也很大的漏洞，可以说微软的官方网站也存在着注入漏洞。注入漏洞是因为字符过滤不严谨所造成的，可以得到管理员的帐号密码等相关资料。
注入漏洞是目前存在最为严重且普遍的。所以也很难防御，具体介绍请去百度百科查看。这里就不做过多解释。 这里个人就对注入漏洞的防御做一下简单的描述
（1）最条件允许的情况下最好自己写源代码 代码不用太过复杂这样对字符的过滤极为困难 如果自己忙于能力写的话可以花钱请专业人员编写web网页源码 这样的站点一般安全系数还是比较高的。
（2）如果自己不能编写源代码也不想花钱请别人写的话可以去网上早一些安全性比较高的网站程序，
不过自己要明确的是一点 也就是说要明确的知道自己的建站目的也用途，比如门户站点程序 就可以选择 phpcms、织梦、帝国 等比较知名的网站程序 然后自己在做一些简单的修改就可以了。
Discuz和Phpwind程序 一般用于bbs论坛程序 如果是博客或者一些网站记事本的话就可以选择
（3）别下载网上的整套程序 这样的网站虽然虽然可以为我们节约很多时间,可是危险系数非常高，一般的黑客只需要下载一个和该网站相同的整站就可以通过默认密码、后台、数据库、上传点、或者分析源代码
等直接获得网站的管理员权限，所以最好不要使用这样的方法 及不可取。
（自己在攻击类似的网站的时候也是用的这种方法，前面有一篇文章好像是写的织梦的，也是自己通过下载相同的整套程序，然后分析目录结构，得到隐秘数据）
2.上传漏洞
这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
导致该漏洞的原因在于代码作者没有对访客提交的数据进行检验或者过滤不严，可以直接提交修改过的数据绕过扩展名的检验。
在网站上传时进行抓包，得到接受数据提交的页面地址，然后用下列工具进行提交！如果存在漏洞，便可以得到webshell
（有些上传页面用的只是简单的脚本对访客提交的文件进行扩展名进行检查，那么，只要在IE中关闭禁用脚本， 然后直接上传webshell就可以了）
老兵的上传工具、DOMAIN3.5，这两个软件都可以达到上传的目的，用NC也可以提交。
目前，要检测网站上传漏洞，可以利用EeSafe网站安全联盟提供的文件上传漏洞检测功能。
3.旁注
旁注是最近网络上比较流行的一种入侵方法，在字面上解释就是－”从旁注入”，利用同一主机上面不同网站的漏洞得到webshell，从而利用主机上的程序或者是服务所暴露的用户所在的物理路径进行入侵。
旁注是一种新生的入侵手法，其杀伤力远远超过系统的漏洞，而且在旁注的过程中可以加插很多的手法，例如：权限的提升，木马的种植等等。
但是我在这里一再的说明的就是旁注就是从旁注入，旁注是利用主机的信息而进行的跨站 式 入侵，而不是我们所看到所理解的提权，
旁注不需要提权，提升权限就已经扭曲了旁注的真正意义，旁注是一种很局限的入侵手法，但是结合其他的入侵手法之后，就会成为其他各种各样的入侵艺术。希望大家从中得到自己风格的入侵方式。
这是在网上找的漏洞挖掘的一些知识，很全。但是里面的一些技术就需要你们自己去百度，或者去相关的博客上面学习。
防御方法：使用独立服务器服务器或者独立空间 这样不仅有利于网站的seo 更加能够使旁注无从下手
今天就先介绍在这里,本文章部分内容引用百度百科资料,有什么如果想知道更多的网站安全方面的文章请持续关注本公众号。你们的支持是我最大的动力。
