xx投資集團(tuán)-網(wǎng)站滲透測(cè)試報(bào)告(編輯修改稿)
2025-04-23 23:57 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 全工程師可對(duì)門(mén)戶(hù)網(wǎng)站發(fā)起內(nèi)部攻擊，進(jìn)而可完全入侵門(mén)戶(hù)網(wǎng)站。 因時(shí)間關(guān)系，以及昨天交流滲透結(jié)果后，管理員關(guān)閉黨群工作信息管理系統(tǒng)，無(wú)法進(jìn)一步測(cè)試和驗(yàn)證。. 安全漏洞列表下表展示了本次測(cè)試發(fā)現(xiàn)的安全漏洞與相應(yīng)的風(fēng)險(xiǎn)：應(yīng)用系統(tǒng)利用漏洞威脅來(lái)源風(fēng)險(xiǎn)等級(jí)風(fēng)險(xiǎn)描述門(mén)戶(hù)網(wǎng)站Apache版本低外部黑客高可遠(yuǎn)程執(zhí)行代碼，直接得到管理員權(quán)限SQL注入漏洞外部黑客高惡意用戶(hù)可以通過(guò)注入JavaScript、VBScript、ActiveX、HTML或者Flash的方式欺騙用戶(hù)，可以收集Cookie等相關(guān)數(shù)據(jù)并冒充其他用戶(hù)，當(dāng)然也可以修改當(dāng)前用戶(hù)信息?？缯灸_本編制外部黑客高惡意用戶(hù)可以通過(guò)注入JavaScript、VBScript、ActiveX、HTML或者Flash的方式欺騙用戶(hù)，并收集Cookie等相關(guān)數(shù)據(jù)并冒充其他用戶(hù)。通過(guò)精心構(gòu)造的惡意代碼，甚至可以獲取系統(tǒng)的管理權(quán)限，或者讓訪(fǎng)問(wèn)者訪(fǎng)問(wèn)非法網(wǎng)站或下載惡意木馬。敏感信息泄漏外部黑客中泄漏敏感信息郵件系統(tǒng)跨站點(diǎn)請(qǐng)求偽造外部黑客中可能用于模仿合法用戶(hù)，從而使黑客能夠以該用戶(hù)身份查看或變更用戶(hù)記錄以及執(zhí)行事務(wù)。已解密的登錄請(qǐng)求外部黑客中可能會(huì)竊取諸如用戶(hù)名和密碼等未經(jīng)加密即發(fā)送了的用戶(hù)登錄信息未設(shè)置驗(yàn)證碼機(jī)制外部黑客中惡意攻擊者可以使用暴力破解的手段猜解帳號(hào)和密碼第3章 測(cè)試結(jié)果. 門(mén)戶(hù)網(wǎng)站. Apache版本低n 測(cè)試過(guò)程探測(cè)發(fā)現(xiàn)Apache的版本低，為Apache d ((Win32)n 風(fēng)險(xiǎn)分析該版本存在一個(gè)mod_isapi Dangling Pointer漏洞，可遠(yuǎn)程執(zhí)行代碼，直接得到管理員權(quán)限n 風(fēng)險(xiǎn)等級(jí)高n 影響URL無(wú)n 解決方法升級(jí)Apache版本。. SQL注入漏洞n 測(cè)試過(guò)程訪(fǎng)問(wèn)如下地址：從錯(cuò)誤信息判斷，數(shù)據(jù)庫(kù)為微軟的SQLServer數(shù)據(jù)庫(kù)，由此判斷該頁(yè)面存在SQL注入漏洞n 風(fēng)險(xiǎn)分析攻擊者可以通過(guò)構(gòu)造特殊URL的手段，利用SQL注入漏洞從數(shù)據(jù)庫(kù)中獲取敏感數(shù)據(jù)、修改數(shù)據(jù)庫(kù)數(shù)據(jù)（插入/更新/刪除） 、執(zhí)行數(shù)據(jù)庫(kù)管理操作（如關(guān)閉數(shù)據(jù)庫(kù)管理系統(tǒng)）、恢復(fù)存在于數(shù)據(jù)庫(kù)文件系統(tǒng)中的指定文件內(nèi)容，在某些情況下能執(zhí)行操作系統(tǒng)命令。n 風(fēng)險(xiǎn)等級(jí)高n 影響URLn 解決方法對(duì)用戶(hù)輸入的數(shù)據(jù)進(jìn)行全面安全檢查或過(guò)濾，尤其注意檢查是否包含HTML特殊字符。這些檢查或過(guò)濾必須在服務(wù)器端完成，建議過(guò)濾的常見(jiàn)危險(xiǎn)字符如下：216。 |（豎線(xiàn)符號(hào)）216。 amp。 （amp。 符號(hào)）216。 。（分號(hào)）216。 $（美元符號(hào)）216。 %（百分比符號(hào)）216。 @（at 符號(hào)）216。 39。（單引號(hào)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1