首先客户网站和APP的开拓措辞都是利用的PHP架构开拓,后端利用的thinkphp开源系统,对会员进行管理以及资料的统计,包括充值,提现,下单功能.做事器利用是linux系统.共有3个接口,分别是WEB前端,接口,后台,都采取的是action的方法来调用,并初始化数据.我们看下代码
不同入口传入过来的值,并进一步的操作都不一样,我们技能在get,post,cookies的要求办法中,创造一个规律,在查看代码中创造都是利用的get()的办法来对传入过来的值进行安全效验与拦截.对一些分外符号包括<> 都进行了安全转义,不会直接输入到后端中去.基本上的一些漏洞,XSS,SQL注入漏洞是不会很随意马虎的找到.我们连续对代码进行剖析与渗透测试,对漏洞多次的测试,终于找到一处存在SQL注入漏洞的代码,存在于网站的会员头像上传功能.
我们抓取上传的数据包,并进行修正,将恶意的SQL注入代码写入到数据包中,将头像的图片内容进行修正提交过去,创造做事器返回缺点,缘故原由是对图片的内容进行理解析操作,并将上传的路径地址写入到了数据库,而这个写入数据库的图片路径地址,并没有做详细的变量安全过滤,导致SQL注入的发生,由此可见,攻击者可以查询数据库里的管理员账号密码,并上岸到系统后台进行提权.平台的后台目录地址很随意马虎遭到破解,后台名字写的竟然是houtai2019,很随意马虎让攻击者猜解到,利用SQL注入漏洞获取到的管理员账号密码.上岸后台,上传webshell,查到数据库的账户密码,进行连接,修正数据库.
在对后台的渗透测试创造,后台也存在同样的任意文件上传漏洞,upload值并没有对文件的格式,做安全效验与过滤,导致可以布局恶意的图片代码,将save格式改为php,提交POST数据包过去,直接在网站的目录下天生.php文件.对此我们将渗透测试过程中创造的漏洞都进行了修复.
可能有些人会问了,那该如何修复渗透测试中创造的网站漏洞?
首先对SQL注入漏洞,我们建议大家对图片的路径地址写入到数据库这里,进行安全过滤,对付一些分外字符,SQL注入攻击代码像select,等数据库查询的字符进行限定,有程序员的话,可以对路径进行预编译,动态天生文件名,对ID等值只许可输入数字等的安全支配,如果对程序代码不是太懂的话,也可以找专业的网站安全公司来办理,剩下的便是任意文件上传功能的漏洞修复,修复办法是对上传的文件名,以及文件格式做白名单限定,只许可上传jpg.png,gif,等图片文件,对上传的目录做安全设置,不许可PHP等脚本文件的实行,至此客户网站数据被修改的缘故原由找到,经由渗透测试才创造漏洞的根源,不仿照攻击者的手段.是永久不会找到问题的缘故原由的.也希望借此分享,能帮助到更多碰着网站被攻击情形的客户.
