天氣越來越涼爽,在對客戶網站代碼進行滲透測試,漏洞測試的同時我們SINE安全滲透技術要對客戶的網站源代碼進行全方位的安全檢測與審計,只有真正的了解網站,才能更好的去滲透測試,發現網站存在的漏洞,盡可能的讓客戶的網站在上線之前,安全防護做到最極致.在后期的網站,平臺快速發展過程中,避免重大的漏洞導致的經濟損失.

為潁州等地區用戶提供了全套網頁設計制作服務，及潁州網站建設行業解決方案。主營業務為成都網站建設、網站設計、潁州網站設計，以傳統方式定制建設網站，并提供域名空間備案等一條龍服務，秉承以專業、用心的態度為用戶提供真誠的服務。我們深信只要達到每一位用戶的要求，就會得到認可，從而選擇與我們長期合作。這樣，我們也可以走得更遠！

首先分享一下我們SINE安全前段時間對客戶的金融平臺的滲透測試過程,在審計代碼的時候發現了問題,首先看到的是客戶網站采用的php語言+MySQL數據庫,前端還使用了VUE JS框架,在進行滲透測試前,我們要檢查客戶網站的源代碼是否加密以及混淆,再一個查看php文件是否對應的URL地址,是調用的,還是單獨的PHP功能頁面,還有入口文件和index.php首頁訪問頁面的代碼是否一致化.接著要了解的是整個金融平臺網站的目錄,都包含哪些功能目錄,這次我們檢查到的,客戶網站有會員注冊功能,頭像上傳功能,銀行卡添加,充值,提現,投資記錄,意見與反饋,個人資料修改等等功能.

我們SINE安全在進行網站代碼的安全審計,采用的審計方法是敏感函數以及傳輸值的追蹤與調試的辦法去查看代碼是否含有惡意代碼以及存在的漏洞隱患,是否可導致產生網站漏洞,包括一些邏輯漏洞,垂直,平行越權漏洞的產生.

在大體的代碼審計一遍后發現有些PHP文件存在SQL注入漏洞,沒有開關閉合引號,導致可以前端傳入惡意的參數值,并傳入到數據庫中進行執行,尤其新聞公告欄目里newxinxi.php?id=18,打開后是直接調用數據庫里的新聞內容,但是ID這個值沒有限制輸入中文以及特殊字符,導致直接執行到后端的數據庫當中去了,我們SINE安全技術隨即對客戶的網站漏洞進行了修復,限制ID=的值為數字,不允許輸入中文等特殊字符.在充值,以及提現功能里,我們發現客戶的網站代碼并沒有對數字的正負號進行限制,導致可以輸入負號進行充值,以及提現,在實際的滲透測試中發現提現中輸入負數,可以導致個人賬戶里的金額增加,后臺并沒有審核提現的功能.而是直接執行了提現功能.

網站還存在遠程執行代碼寫入漏洞.可導致網站被上傳webshell,進而導致網站的權限以及服務器的權限被拿下,用戶數據被篡改被泄露都是可以發生的.我們來看下這個代碼,如下圖:

我們來看下這個變量值是如何寫,如何賦值的,$page, $dir = dirname(__FILE__).‘/../backup/’這個backup就是自定義的備份目錄.dirname 就是輸出的文件名,當我們用helper去定義這個類的時候,就會調用代碼里的IF語句,判斷條件是否滿足,如果滿足就可以導致遠程插入惡意代碼,或構造惡意的代碼去執行,并輸出惡意文件到網站目錄中,像webshell都是可以的.以上是我們SINE安全在對客戶網站進行滲透測試服務中發現的一部分漏洞,以及如何做的代碼安全審計,漏洞測試過程的分享,,如果網站在運行中出現了被攻擊,數據被篡改等攻擊問題,可以找專業的網站安全公司來進行滲透測試服務,國內SINESAFE,綠盟,啟明星辰,都是比較不錯的,安全防患于未然,發現漏洞,修復漏洞,促使網站在上線之前安全防護做到極致,網站安全了,用戶才能用的安心,也希望更多的人了解滲透測試服務.

網站名稱：APP滲透測試基本內容與漏洞掃描介紹
網站地址：http://vcdvsql.cn/article8/gjoeop.html

成都網站建設公司_創新互聯，為您提供網站設計公司、網站維護、搜索引擎優化、網站營銷、網站排名、品牌網站制作

廣告

聲明：本網站發布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創新互聯