网站攻击思路

简介: 最近一直在忙着项目,公众号也有很久没更新了,在此我给大家深表歉意。毕竟大三狗了。下半年就要滚蛋实习了。然后就在搞点项目,应聘的时候多一点竞争力。废话少说,直接进入正题。

     最近一直在忙着项目,公众号也有很久没更新了,在此我给大家深表歉意。毕竟大三狗了。下半年就要滚蛋实习了。然后就在搞点项目,应聘的时候多一点竞争力。废话少说,直接进入正题。

web安全现在是网络安全的不可或缺的重要一部分,也是许多站长最为头疼的问题。很多黑帽子,获得了网站的权限并没有提醒管理员修补漏洞

而是拿到webshell以后用于非法牟利或者提权获得服务器用于扫描、攻击等非法用途。

所以本人在此郑重强调我们入侵网站以后一定不要非法修改网站数据或者恶意添加后门 应该在力所能及的范围内修改已知的漏洞。

并且提醒管理员修改漏洞。具体大家可以去查看下“黑客守则”

1.注入漏洞

这个漏洞是现在应用最广泛,杀伤力也很大的漏洞,可以说微软的官方网站也存在着注入漏洞。注入漏洞是因为字符过滤不严谨所造成的,可以得到管理员的帐号密码等相关资料。

注入漏洞是目前存在最为严重且普遍的。所以也很难防御,具体介绍请去百度百科查看。这里就不做过多解释。 这里个人就对注入漏洞的防御做一下简单的描述

(1)最条件允许的情况下最好自己写源代码 代码不用太过复杂这样对字符的过滤极为困难 如果自己忙于能力写的话可以花钱请专业人员编写web网页源码 这样的站点一般安全系数还是比较高的。

(2)如果自己不能编写源代码也不想花钱请别人写的话可以去网上早一些安全性比较高的网站程序,

不过自己要明确的是一点 也就是说要明确的知道自己的建站目的也用途,比如门户站点程序 就可以选择 phpcms、织梦、帝国 等比较知名的网站程序 然后自己在做一些简单的修改就可以了。

Discuz和Phpwind程序 一般用于bbs论坛程序 如果是博客或者一些网站记事本的话就可以选择

(3)别下载网上的整套程序 这样的网站虽然虽然可以为我们节约很多时间,可是危险系数非常高,一般的黑客只需要下载一个和该网站相同的整站就可以通过默认密码、后台、数据库、上传点、或者分析源代码

等直接获得网站的管理员权限,所以最好不要使用这样的方法 及不可取。

(自己在攻击类似的网站的时候也是用的这种方法,前面有一篇文章好像是写的织梦的,也是自己通过下载相同的整套程序,然后分析目录结构,得到隐秘数据)

2.上传漏洞

这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗,利用上传漏洞可以直接得到WEBSHELL,危害等级超级高,现在的入侵中上传漏洞也是常见的漏洞。

导致该漏洞的原因在于代码作者没有对访客提交的数据进行检验或者过滤不严,可以直接提交修改过的数据绕过扩展名的检验。

在网站上传时进行抓包,得到接受数据提交的页面地址,然后用下列工具进行提交!如果存在漏洞,便可以得到webshell

(有些上传页面用的只是简单的脚本对访客提交的文件进行扩展名进行检查,那么,只要在IE中关闭禁用脚本, 然后直接上传webshell就可以了)

老兵的上传工具、DOMAIN3.5,这两个软件都可以达到上传的目的,用NC也可以提交。

目前,要检测网站上传漏洞,可以利用EeSafe网站安全联盟提供的文件上传漏洞检测功能。

3.旁注

旁注是最近网络上比较流行的一种入侵方法,在字面上解释就是-”从旁注入”,利用同一主机上面不同网站的漏洞得到webshell,从而利用主机上的程序或者是服务所暴露的用户所在的物理路径进行入侵。

 

旁注是一种新生的入侵手法,其杀伤力远远超过系统的漏洞,而且在旁注的过程中可以加插很多的手法,例如:权限的提升,木马的种植等等。

但是我在这里一再的说明的就是旁注就是从旁注入,旁注是利用主机的信息而进行的跨站 式 入侵,而不是我们所看到所理解的提权,

旁注不需要提权,提升权限就已经扭曲了旁注的真正意义,旁注是一种很局限的入侵手法,但是结合其他的入侵手法之后,就会成为其他各种各样的入侵艺术。希望大家从中得到自己风格的入侵方式。

这是在网上找的漏洞挖掘的一些知识,很全。但是里面的一些技术就需要你们自己去百度,或者去相关的博客上面学习。

防御方法:使用独立服务器服务器或者独立空间 这样不仅有利于网站的seo 更加能够使旁注无从下手

今天就先介绍在这里,本文章部分内容引用百度百科资料,有什么如果想知道更多的网站安全方面的文章请持续关注本公众号。你们的支持是我最大的动力。

目录
打赏
0
0
0
0
6
分享
相关文章
网站被攻击有什么办法呢?
网站为什么会遭遇DDoS攻击?德迅云安全SCDN如何有效防御DDoS攻击?
游戏遇到攻击有什么办法解决
游戏行业在繁荣中遭遇严峻网络安全挑战,如DDoS、SQL注入和恶意软件等攻击。有效防护策略包括使用高性价比的安全解决方案,如德迅云的安全应用加速产品,它提供无视DDoS攻击的防御、快速配置、优质网络体验及经济的计费模式。游戏盾通过隐藏服务节点、数据加密和WAF等手段,增强抗DDoS、CC防护和业务安全,确保游戏运行流畅,提升玩家体验。
网站服务器怎么做防御?遇到攻击如何解决?
如今黑客攻击越来越多也十分猖獗,我们应如何防护呢?
154 0
Potato土豆提权工具绕过防护思路-1
Potato土豆提权工具绕过防护思路-1
244 0
网站遭受DDOS攻击如何解决防止被攻击的方案分析
网站、APP,以及服务器每天都会遭受到DDOS流量攻击,据SINE安全统计,目前互联网2019年上半年的流量攻击趋势明显增加,每天接触到的流量攻击事件达到两千多次,与去年的攻击数据相比较有所微上升。国内大部分的网站,APP应用都使用的是阿里云,以及腾讯云,百度云的服务器,通过上述三家公开的一些流量攻击报告,从流量攻击事件,挖矿病毒,僵尸肉鸡,网站篡改攻击事件中,来总结一下今年上半年的DDOS流量攻击的趋势。
288 0
网站遭受DDOS攻击如何解决防止被攻击的方案分析
网站被黑和网站被入侵该如何更好的处理?
2018.6.19当天接到一位新客户反映自己的网站被黑了,网站首页也被黑客篡改了,网站首页被加了一些与网站不相符的内容与加密的代码,导致百度网址安全中心提醒您:该页面可能存在木马病毒!网站在百度的收录与快照也被劫持成什么世界杯投注,以及博彩,赌博等等的内容,根据以上客户给我们反映的网站被黑的问题,我们Sine安全公司立即安排安全技术人员对客户网站被黑的情况进行了详细的网站安全检测与代码的人工安全审计,发现客户网站首页之前是经常的被篡改,客户只能删除掉首页文件,然后重新生成首页,实在是反复被篡改的没办法了,才找到我们SINE安全公司来处理网站的安全问题.
487 0
网站被黑和网站被入侵该如何更好的处理?
网站安全该如何做?怎么样才能防止被攻击
作为一名网络安全工程师,“网站安全”这个词似乎离生活有些遥远,平日里很多人开启计算机最多就是登录网站、浏览网站,至于网站安不安全,却从未关注过。近些年来,网络安全相关话题已经引起了社会的广泛关注,还记得去年暑期大火的偶像连续剧《亲爱的热爱的》讲述了男主希望为中国拿下CTF大赛冠军的梦想之路,CTF在网络安全领域中指的是网络安全技术人员之间进行技术比拼的一种比赛形式,当然,这部剧的成功之处更在于让许多年轻人对网络安全领域产生了兴趣,笔就是其中一员。本文旨在从一名网络安全工程师的角度,用更加通俗易懂的话语,介绍网站安全的相关知识。
244 0
网站安全该如何做?怎么样才能防止被攻击
AI助理

你好,我是AI助理

可以解答问题、推荐解决方案等