許多客戶在網(wǎng)站，以及APP上線的同時，都會提前的對網(wǎng)站進行全面的滲透測試以及安全檢測，提前檢測出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過程中出現(xiàn)重大的經(jīng)濟損失，前段時間有客戶找到我們SINE安全公司做滲透測試服務(wù)，在此我們將把對客戶的整個滲透測試過程以及安全測試，發(fā)現(xiàn)的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測試。
應(yīng)對措施：文檔上傳的繞過方法網(wǎng)上一搜有很多（比如upload-labs的各種方法、繞防火墻的各種方法（雖然很多已經(jīng)過時），可能還有些沒有公開的方法，總結(jié)一下：1.常規(guī)的繞過方法：文檔后綴（大小寫、文檔別名等等）、文檔名（文檔名加分號、引號等等）、文檔內(nèi)容（比如圖片馬）、請求包結(jié)構(gòu)等等。
2.結(jié)合服務(wù)器解析漏洞：IIS、apache、nginx的特定版本都有對應(yīng)的解析漏洞。3.利用文檔包含漏洞：如果有文檔包含漏洞，可以結(jié)合文檔包含漏洞，上傳馬。4.利用組件漏洞：如果知道組件版本和名稱，可以網(wǎng)上找一下相應(yīng)漏洞。注：手動一個一個去試各種方法，的確很麻煩，可以試試burpsuit的上傳插件upload-scanner(但本人覺得并不好用）。

1.注入漏洞。由于其普遍性和嚴(yán)重性，注入漏洞在Web0漏洞中始終排在位。常見的注入漏洞包括SQL、LDAP、OS命令、ORM和OGNL。用戶可以通過任何輸入點輸入構(gòu)建的惡意代碼。如果應(yīng)用程序沒有嚴(yán)格過濾用戶的輸入，一旦輸入的惡意代碼作為命令或查詢的一部分被發(fā)送到解析器，就可能導(dǎo)致注入漏洞。以SQL注入為例，是因為攻擊者通過瀏覽器或其他客戶端向網(wǎng)站參數(shù)中插入惡意SQL語句，而網(wǎng)站應(yīng)用程序直接將惡意SQL語句帶入數(shù)據(jù)庫并執(zhí)行而不進行過濾，終導(dǎo)致通過數(shù)據(jù)庫獲取敏感信息或其他惡意操作。

滲透測試其實就是一個攻防對抗的過程，所謂知己知彼，才能百戰(zhàn)百勝。如今的網(wǎng)站基本都有防護措施，大企業(yè)或大單位因為網(wǎng)站眾多，一般都會選擇大型防火墻作為保護措施，比如深信服、天融信等等，小單位或單個網(wǎng)站通常會選擇D盾、安全狗或開源的安全軟件作為保護措施，一些常見的開源waf有：OpenResty、ModSecurity、NAXSI、WebKnight、ShadowDaemon等等。
當(dāng)然，服務(wù)器沒裝防護的的網(wǎng)站還是有的。而這些防護措施都有對常見漏洞的防御措施，所以在實際的漏洞挖掘和利用過程中必須考慮這些問題，如何確定防護措施，如何對抗防護措施。web常見漏洞一直是變化的，隔一段時間就會有新的漏洞被發(fā)現(xiàn)，但實戰(zhàn)中被利用的漏洞其實就那么幾個，就像編程語言一樣，穩(wěn)坐前三的永遠是c、c++。

修改后臺初始密碼
每個都有一個后臺賬戶，用于日常的維護更新，而很多后臺初始密碼都過于簡單，在拿到后臺管理賬號密碼時，要先把初始密碼修改掉，帳號密碼要有一定的復(fù)雜度，不要使用域名、年份、姓名、純數(shù)字等元素，要知道密碼越好記也就意味著越容易被攻破。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對各項功能都進行了全面的安全檢測。
http://www.cxftmy.com