开发者社区> 网站安全> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

渗透测试对网站安全扫描与检测流程

简介: 很多客户网站以及APP在上线运营之前都会对网站进行渗透测试,提前检测网站是否存在漏洞,以及安全隐患,避免因为网站出现漏洞而导致重大的经济损失,客户找到我们SINE安全做渗透测试服务的时候,我们都会对文件上传功能进行全面的安全测试,包括文件上传是否可以绕过文件格式,上传一些脚本文件像php,jsp,war,aspx等等,绕过上传目录,直接上传到根目录下等等的一些漏洞检测。
+关注继续查看

很多客户网站以及APP在上线运营之前都会对网站进行渗透测试,提前检测网站是否存在漏洞,以及安全隐患,避免因为网站出现漏洞而导致重大的经济损失,客户找到我们SINE安全做渗透测试服务的时候,我们都会对文件上传功能进行全面的安全测试,包括文件上传是否可以绕过文件格式,上传一些脚本文件像php,jsp,war,aspx等等,绕过上传目录,直接上传到根目录下等等的一些漏洞检测。
timg

那什么是文件上传漏洞?我们SINE安全来给大家讲解一下:简单来说,文件上传就是可以上传一些文件到网站以及APP里,大部分的网站都只允许上传图片格式文件,以及文档类的文件,之所以要做渗透测试就是要检测该上传功能是否存在漏洞,程序源代码里有没有对POST过来的上传数据进行安全效验,以及文件后缀名的检查,有些客户网站并没有做安全效验,导致可以直接上传webshell(也叫网站木马后门)到网站中。

当文件上传功能出现漏洞就可以直接执行网站木马文件,该webshell可以对网站代码进行操作,上传,下载,编辑,以及数据库操作,执行恶意的远程代码到服务器中,都是可以的,相当于网站的管理员权限了,该漏洞的危害性较大。可能会导致用户的数据泄露,以及数据库被篡改。

根据我们SINE安全多年的渗透测试经验来看,客户网站存在文件上传漏洞的地方总结如下:

1.会员上传头像功能
3

2.上传文档功能
1

3.提交意见反馈+截图上传

4.添加文章的图片上传
2

5.留言功能上传图片

存在的上传漏洞类型:文件扩展名绕过漏洞,以及文件解析漏洞,content-type绕过漏洞,文件名大小写绕过上传漏洞,文件头绕过漏洞,JS前端绕过上传漏洞,我们SINE安全渗透测试这么多客户当中,出现JS前端绕过漏洞频率最多,很多程序员在设计代码过程中,只对JS前端的访问用户做了安全效验,并没有对网站后端做安全效验,导致可以直接修改后缀名进行上传脚本文件。我们来举例看下:
5
首先该上传功能在前台网站当中是公开的,任何一个注册的会员都可以上传,在更换头像这里,可以自定义选择图片进行上传,我们通过抓包截图post的数据包,并修改数据库里的filename值,将扩展名修改为jsp,php就可以直接上传到网站中。
6
关于渗透测试中文件上传漏洞的修复办法是:对文件上传的格式做白名单设置,值允许上传jpg,png,gif,等的图片格式文件,如果后缀名不是以上三种,直接返回上传失败,再一个对文件代码做安全效验,不仅仅是在JS里做判断,还要在后端做安全效验,对上传的目录地址进行锁定,指定上传的目录地址,对图片的文件夹目录做无执行脚本权限,防止运行JSP,PHP,ASP等脚本的webshell文件。如果您对网站目前是否存在上传漏洞,可以找专业的渗透测试公司,国内SINE安全,启明星辰,绿盟都是比较不错的安全公司,网站前期上线之前一定要做渗透测试,全方位的检测网站存在哪些漏洞,提前修复,促使后期网站平台的发展有序进行,不会因为漏洞而导致业务终止。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
关于网站建设主要流程和步骤
对于初涉互联网的新手来说,网站建设的主要流程是必须了解的,这里就给大家介绍下网站建设的主要步骤!!
178 0
关于网站建设主要流程和步骤(小白指南)
对于初涉互联网的新手来说,网站建设的主要流程是必须了解的,这里就给大家介绍下网站建设的主要步骤!!
210 0
关于网站建设的主要步骤和流程(小白指南)
对于初涉互联网的新手来说,网站建设的主要流程是必须了解的,这里就给大家介绍下网站建设的主要步骤!
188 0
阿里云网站域名备案流程全过程讲解(图文)
为了在国内能够合法的开办网站,方便的使用国内服务器,最重要的还是备案,小站使用的阿里云的服务器,当然通过阿里云来备案啦,本站使用的阿里云 ECS,和普通的虚拟主机不一样,主要区别是需要申请一个备案服务号。因为一个 ECS 可以建 n 个网站,所以备案的时候需要申请备案号。阿里云说免费 5 个备案号,也就是说可以免费备案 5 次,超过以后就要购买了。下面就讲讲备案流程吧。
3363 0
阿里云网站域名备案流程全过程(图文讲解)
阿里云网站域名备案流程全过程(图文讲解)
2927 0
阿里云服务器购买与搭建网站流程全过程详解【宝塔面板镜像+WordPress】
新手如何用阿里云服务器Linux系统安装宝塔面板搭建WordPress博客网站呢?WordPress作为全球实用最广泛的CMS系统,以功能强大、扩展性强,插件众多,易扩充功能等特点,受到全球站长开发者青睐。
2112 0
渗透测试 网站安全基础点web讲解(第一点)
随着网络的发达,越来越多的网站已悄悄崛起,在这里我们Sine安全给大家准备讲解下渗透测试服务中的基础点讲解内容,让大家更好的了解这个安全渗透测试的具体知识点和详情过程。主要目的就是为了在网站或app上线前进行全面的渗透测试检测模拟黑客的手法对网站进行全面的漏洞检测,并找出漏洞进行修复,防止上线后被黑客所利用导致带来更大的损失,只有这样才能让网站安全稳定的运行,所谓知己知彼 百战不殆。
1896 0
一个虚拟主机建立多个网站流程核方法
一个虚拟主机建立多个网站流程核方法
1991 0
网站备案流程
第一步:注册账号 注册地址:http://beian.aoolong.com/ 注册相应的账号和密码   第二步:提交证件信息并等待审核 登录 http://beian.aoolong.com/ 提交证件信息。
2197 0
+关注
网站安全
Sinesafe专注于网站安全,服务器安全,解决各类网络安全问题,对代码审计以及漏洞修补安全加固有专业的十年实战经验.官方站点www.sinesafe.com
431
文章
188
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载