现在的网站大多数都是静态生成的，一般来说，只要我们做好网站后台的安全，是不会出太大的问题。因此容易后台的安全问题也不容忽视，要做好网站后台的安全，得做好以下几点& ]& |3 @5 X5 j3 l; e
1、后台用户名和密码是否是明文保存的?
H! [4 N* [$ S3 N3 y/ X. E
$ N; c- [# v( S- U 建议增加昵称字段，区别后台的用户，同时对用户名和密码进行非规范的md5加密，例如加密以后截取15位字串。! p: n+ M s7 U ~" Q, ?1 H
0 o& N/ e7 a% H; p 2、管理成员是否有权限的划分1 \3 |% a7 R; J
- E+ t2 ^4 ]5 g, ?* n& V 一旦没有划分权限，一个编辑用户的帐户失窃也可能为你带来灾难性的后果
* }4 t9 X4 @) R! T$ k- ]$ ?" n9 H: i4 s# ]6 u. s
3、是否有管理日志功能
3 H/ {" ^# J: G. \& I/ ~+ l
' k( O% t- O6 l& ]+ y* `$ \: J 管理日志必须在近几日无法被删除，这是分析入侵者入侵手法的重要依据。
: o$ y5 W. q* G- L3 e: l
" ?6 V' C! H& ]& b1 r 4、后台入口是否隐秘
, a' b( s; I4 d5 f* e, o# ?2 S$ a5 Y, z
不要愚蠢地将入口暴露在前台页面中，也不要使用容易被猜测到的后台入口地址。
$ o4 x- Q2 a" }- G, k3 _7 L7 \* A/ K" w/ l5 P( d
5、后台页面是否使用了meta robots协议限制搜索引擎抓取
3 d& M. |$ s, q$ X! E) t" t) q. w) Q& h3 P
google工具条，百度工具条，或者不经意间出现的后台链接都可能导致你的后台页面被搜索引擎发现，这时候在meta中写入禁止抓取的语句是个明智的选择，但是，切莫将后台地址写入robots.txt，参照第四点。, |0 W# |; f4 S5 O% a$ f: K2 M+ A
" Q: P5 x3 D7 T3 _- Y1 S
6、管理页面是否做了防注入
" U) [4 Y& f) \& m2 [0 E" |) [
* S$ \0 k. d2 [! L+ Y 粗心的程序员往往只考虑了前台页面的注入。
9 t+ [7 Y( e$ X* O- n/ c: ]8 f7 `5 u1 J* v( U
7、access是否有自定义数据库备份功能/ ]) O5 y; ~7 J
7 f0 e/ S4 I. F# q
这是asp+access系统中最臭名昭著的功能，自定义数据库备份可以让入侵者轻松获得webshell! H V) K- y& G
: `0 g; s7 Y5 C3 D
8、是否有自定义sql语句执行功能% D" H4 P6 B8 D; U5 y8 x+ s7 G
& M1 }) B* {9 A* {+ Y u" ] 同第7点。$ x1 V, z' D- s/ E, W* k$ R; P
& x* h' o$ R" M% I, h
9、是否开启了在线修改模板功能. g4 n) V0 c3 c+ K, ~" j6 a
; ?9 E" [) H$ z* U- l
如果没有必要，建议不要开启，防止对方轻易插入跨站脚本。
* Z% o( E: N. Q' J0 v: @
! D# }6 F( R+ l0 z 10、是否直接显示用户提交的数据
3 r. _% c7 Z2 p, B5 z) ~0 l; b0 W {- D9 q
任何时候，用户的输入都是不可信的，设想如果对方输入了一段恶意js，而你在后台没有任何防护的情况下就打开?
; [& R$ B6 k) z6 {+ k0 c& q( x5 P" W) Z4 f/ F2 h# u, @9 L
11、编辑器的漏洞是否清除，是否已经去除了无意义的功能。
# m3 N/ q y3 ~
2 p1 w2 B+ y0 \( G, j# w! M; S 最有名的例子就是ewebeditor的数据库漏洞,默认用户名密码漏洞等
; y9 ]# h, S5 I+ r# g) Z( ^4 n; O, W" |2 ~3 Y, J
对于网站后台的安全问题，任何一个环节的疏忽都可能导致灾难性的后果，网站安全，任重道远，大家须时时注意。4 i8 S! Y6 o) Q: S& f8 p# U. E2 T
8 O$ I8 } m V
本文由（源码营 http://www.yuanmaying.com/）发布
0 q( B F0 R' p9 b# y1 z) V2 L
. _5 M, E8 M0 ~- E' H; C7 y5 R |
