|
|
站长之家11月16日消息 百度站长平台近日推出网站漏洞检测安全工具，该工具可以帮助站长检测网站存在的风险，并能根据不同的风险给出详细的修复建议及该风险的危险等级。百度站长平台建议站长，为了保证网站的安全运营，最好定期使用该工具对网站进行漏洞检测。
' U8 r, B: `2 Z6 p# p据介绍，漏洞检测工具由百度与知道创宇旗下的安全工具Scanv及加速乐合作推出，Scanv及加速乐可以监测到国内有高危漏洞的网站占全网的三分之二以上，每天防护的僵尸网络攻击高达1亿余次。0 v" @, p4 \/ |1 P6 t+ |+ {
百度站长平台表示，网站漏洞问题非常严重，网站安全为网站运营的重中之重，如果网站的漏洞由于未及时修复导致被黑客利用入侵，必然会严重影响网站的用户体验及网站的正常运营，最终会影响到您的网站在百度网页搜索中的体现。. Q- k9 l4 t1 V' \+ h6 a
百度站长平台建议站长们重视安全问题，用好漏洞检测工具，保证网站的安全运转及用户体验。5 A0 b* F- G1 t$ _/ L8 x5 d
百度站长平台漏洞检测类型说明
4 P# q+ `5 j- {* t n+ [: x+ \1、高危漏洞8 a4 X: ?, }* Q, C+ W
高危漏洞包括：SQL注入漏洞、XSS跨站脚本漏洞、页面存在源代码泄露、网站存在备份文件、网站存在包含SVN信息的文件、网站存在Resin任意文件读取漏洞。3 m' o$ Q, D6 g& b
SQL注入漏洞：网站程序忽略了对输入字符串中包含的SQL语句的检查，使得包含的SQL语句被数据库误认为是合法的SQL指令而运行，导致数据库中各种敏感数据被盗取、更改或删除。, m4 d% @+ e, v
XSS跨站脚本漏洞：网站程序忽略了对输入字符串中特殊字符与字符串（如<>'"<script><iframe>onload）的检查，使得攻击者可以欺骗用户访问包含恶意JavaScript代码的页面，使得恶意代码在用户浏览器中执行，从而导致目标用户权限被盗取或数据被篡改。
- f- u. {! e- E页面存在源代码泄露：页面存在源代码泄露,可能导致网站服务的关键逻辑、配置的账号密码泄露，攻击者利用该信息会更容易得到网站权限，导致网站被黑。
+ d2 n l2 w1 B7 P9 Q网站存在备份文件：如数据库备份文件、网站源码备份文件等，攻击者利用该信息可以更容易得到网站权限，导致网站被黑。
( p4 b6 J n4 Z6 w网站存在包含SVN信息的文件：网站存在包含SVN信息的文件，这是网站源码的版本控制器私有文件，里面包含SVN服务的地址、提交的私有文件名、SVN用户名等信息，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。$ Z* y1 z0 f7 E: S
网站存在Resin任意文件读取漏洞：安装某些版本Resin服务器的网站存在可读取任意文件的漏洞，攻击者利用该漏洞可以读取网站服务器的任意文件内容，导致网站被黑。; n- V T* Z2 d$ P( p E; N- G Q
2、中危漏洞
/ ?' h \5 X1 D中危漏洞包括：网站存在目录浏览漏洞、网站存在PHPINFO文件、网站存在服务器环境探针文件、网站存在日志信息文件、网站存在JSP示例文件。
, N) |/ P: n7 G# G: k- r& i4 Z网站存在目录浏览漏洞：网站存在配置缺陷，存在目录可浏览漏洞，这会导致网站很多隐私文件与目录泄露，比如数据库备份文件、配置文件等，攻击者利用该信息可以更容易得到网站权限，导致网站被黑。. i3 a& x2 t0 e4 y, A4 j7 C
网站存在PHPINFO文件：这个是PHP特有的信息文件，会导致网站的大量架构信息泄露，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。& [ }1 N- s2 L7 r( C4 ^
网站存在服务器环境探针文件：该文件会导致网站的大量架构信息泄露，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。
4 p1 j9 l% g5 r2 L6 f- |网站存在日志信息文件：该文件包含的错误信息会导致网站的一些架构信息泄露，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。
6 ]+ `6 I2 y# a3 O( z网站存在JSP示例文件：该文件的弱口令会导致网站的大量架构信息泄露，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。+ ^1 w# H& I# i) `
3、低危漏洞
: W. i1 [8 }% U( ^/ S' T低危漏洞包括：页面上存在网站程序的调试信息、网站存在后台登录地址、网站存在服务端统计信息文件、网站存在敏感目录。
7 N2 l6 X- ~* x页面上存在网站程序的调试信息：页面上存在数据库信息，例如数据库名、数据库管理员名，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。4 ?, W/ G! ?3 f4 h4 q
网站存在后台登录地址：攻击者经常使用这个地址进行网站的后台登陆，比如弱密码、表单绕过、暴力破jie等，从而得到网站的权限。
6 p/ s t) I1 P* o网站存在服务端统计信息文件：该文件会导致网站的一些架构信息泄露，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。3 R/ [4 C! P& h) ^
网站存在敏感目录：如 /upload /database /bak，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。
; J: h3 K3 D4 g' t
+ X9 N# C7 s. A9 I7 |本文由 www.njsbmy.net 南京自动门
' @) U. H1 v$ G# H+ |$ z: ` |
|
