常見的WEB***及防範

最近常碰見有人說站被***了之類的，昨晚睡不着覺，就萌發了寫篇關於WEB***及防範的文章的念頭。
好了，廢話不說了，咱們進入正題吧！
***，其實都是這樣一個思路，尋找漏洞，然後利用漏洞。目前最常見的WEB***主要有：注入、弱後臺、跨站、社工。比較深入的有源碼拿站，十六進制拿站等等，由於本人水平有限，這些不在本文章中進行討論。
一、注入
所謂注入，就是是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什麼區別，如果管理員沒查看IIS日誌的習慣，可能被***很長時間都不會發覺。SQL注入的手法相當靈活，這就要發揮個人的聰明才智，構造精妙的入住語句，從而得到想要的數據。（附：SQL注入的***原理就是利用程序員寫代碼的時候，沒有對用戶輸入數據進行合理判斷或者過濾，讓***者有機可乘，通過執行惡意SQL命令，得到數據讀取或者修改的權限，然後通過一些手段，得到最高權限，對WEB進行惡意破壞，比如：添加暗鏈，掛馬，惡意代碼，等等）
SQL注入***的一般步驟：
1.找到SQL注入位置；
2.判斷後臺數據庫類型；
3.確定CMDSHELL可執行情況
4.找到WEB虛擬目錄
5.上傳ASP；
6.得到WEB管理員權限，然後拿最高權限。
具體操作細節我在這兒就詳說了，你可以利用一些工具，比如啊D，明小子等進行注入檢測，也可以手工進行SQL注入。當然，我建議你還是去學手工注入吧，工具它是死的，咱們的大腦是活的啊，對吧？你可以發揮你的聰明才智，去構造精妙的SQL注入語句，然後去獲取你想要的數據，，，嘿嘿。。。可別幹壞事啊！
防範方法：
程序員要充分了解注入爲何物，在合理的情況下要嚴格過濾一些特殊字符，在寫程序時對各個參數要仔細檢查。
二、弱後臺
弱後臺就是通過查找字段、表段。找到你的後臺地址，然後進行密碼破解！常見的方法有這麼幾種：猜解、暴解。
猜解主要是針對這些弱智密碼：比如初始密碼，財迷型密碼等等：admin.admin888.123456.有空琢磨下密碼心理學，裏邊說的挺詳細的。還有就是利用CD5。暴解就有點複雜了，這兒就不提了。
進入後臺之後，可以進行數據庫備份，上傳***等，從而得到WEBSHELL，得到WEBSHELL就已經成功一半了。然後，得到WEBSHELL之後，進行下一步提權，能過能成功的話，嘿嘿。。。是吧？關於WEBSHELL進一步提權的問題這兒就不做深入探討了，網上有關文章很多，有興趣的朋友可以去找一些研究研究。
防範方法：
1.隱藏後臺地址。
2.密碼儘量不要使用那些弱智型密碼
3.加強服務器的安全管理
4.也可以考慮對管理登陸進行IP綁定
三、跨站
跨站主要有兩種：
1、由於HTML語言允許使用腳本進行簡單交互，***者便通過技術手段在某個頁面裏插入一個惡意HTML代碼——例如記錄論壇保存的用戶信息（Cookie），由於Cookie保存了完整的用戶名和密碼資料，用戶就會遭受安全損失。
2、XST***描述：***者將惡意代碼嵌入一臺已經被控制的主機上的web文件，當訪問者瀏覽時惡意代碼在瀏覽器中執行，然後訪問者的cookie、http基本驗證以及ntlm驗證信息將被髮送到已經被控制的主機，同時傳送Trace請求給目標主機，導致cookie欺騙或者是中間人***。
跨站小弟不是很熟悉，具體方法就不在這裏說了。直接說防範措施吧！
防範措施：
從原則上講目前針對站點***的方法太多了，不過，總體上分爲三個步驟即：信息收集、信息分析和***三步。
1、刪除網站中可以後臺直接上傳的頁面;
2、刪除後臺管理中的添加上傳類型功能;
3、刪除後臺管理中的恢復/備份數據庫功能;
4、禁止在頁面中上傳可執行文件。
5、此外，就是將網站中用到的危險組件改名。
表面看，這樣擋住了網站上傳的漏洞，但沒有從根本上解決問題，因爲安全策略都是在源碼上進行設置的。
PS:對於更簡單的防禦方法，可以利用相關的硬件設備進行防護，比如防火牆，充分利用防火牆的那些優勢。
惡意代碼防範：從本質上對來訪的程序進行選擇性加入，對於加入白名單的程序則放行，對行黑白單中的程序則封殺。即是通過利用信任鏈機制，對系統中所有裝載的可執行文件代碼（例如EXE、DLL、COM等）進行控制，所有可執行文件代碼在加載運行之間都需要先經過檢驗，只有通過驗證的代碼纔可以加載，從而有效地阻止惡意代碼的運行。
四、社工
社工，全名爲“社會工程學”，社工是一種簡單，有效的新型***手段。社會工程學的***，主要是收集重要信息，取得對方的信任，然後從中得到重要信息或者口令。。。這也只是社工很狹義的一種解釋，我在這不多說了，這個各人有各人的看法。有興趣的朋友可以閱讀凱文米勒的《社會工程學的欺騙藝術》。值得我們注意的是，這是一種很可怕的***手段。。。好了，文章到此結束吧！
由於小弟水平有限，可能文章問題很多，希望大家多多指教！

[ 本帖最後由 systemerror 於 2010-10-29 15:45 編輯 ]