简单的小网站检测思路
网站渗透结合手动和软件自动测试两种,一般两种方法结合都能或多或少的及时发现网站的一些漏洞可能或者布局问题等等。下面谈谈我集团1般的入侵渗透思路和罕用的软件本领等等。
1：手动测试
1.熟习网站的开辟措辞，系统情况。
1般接到1个网站入侵浸透测试的工作，我凡是先手动简单测试1下，熟习1下网站的开辟措辞，系统情况和1些简单的静态.比方网站的是哪种系统,是否把持1些整站按次。武断网站的系统情况我1般是把持ping号令按照TTL值武断。可能或许用同站长东西看看同供职器网站的1些情况。根本就能武断网站是windows server 2003系统仍是linux系统。
武断1个网站是否把持整站按次可能按照1些特有的链接来熟习，比方网站注书页面，登陆页面，还有链接形式。差异的整站按次1般在这几个方面都有差异。比方dedecms的注书页面和登陆页面就比较冗杂辨认;shopex的伪动态链接也很冗杂辨认,还有discuz的论坛首页挪用也比较冗杂武断。如果必定了网站采取了何种整站按次，那即可能用1些现有的整站按次缝隙来测试。
2.手动武断网站是否具有1些常见的SQL注入、跨站缝隙。
Sql注入缝隙可能在1些把持到查询的链接处测试,比方产品页,动态页等等。因为要挪用详细的动态可能或许产品ID,所以会波及到SQL查询语句。此后就有概略在1些参数的过滤上做的不是很规范,可能用and，or等来测试武断是否具有SQL注入.
跨站缝隙的造成也是因为参数过滤不严谨，导致可能提交1些缓慢的“javascript”、“<script>”、“#”、“&”等字符。
预防倡议：SQL注入和跨站缝隙的预防必要按次员在写按次的时分，在1些参数挪用上把持暴虐的规范，不要因为贫窘迫难而把持SQL语句拼接等.
二：软件自动测试
用WWWScan扫描网站的1些缓慢目次,看看是否具有编辑器缝隙，默认的数据库途径，同时也熟习1下网站把持的时apache,，IIS，nginx等等。编辑器缝隙可能把持已有的1些把持举措，上传网马撮合IIS和Apache,Nginx的剖析缝隙来完成入侵。
预防倡议：e网站editor删除默认的数据库，可能或许修改数据库后缀。删除默认的背景登陆页面。Fckeditor删除test.html文件，修改按次禁止建立近似xx.asp如许的文件夹。在IIS上设置1些上传文件所在目次的剖析典型，禁止剖析.jpg文件等。
用软件WebCruise扫描网站，来查抄网站是否具有注入缝隙，跨站缝隙等等。预防倡议以上已经列出。
用X-Scan等扫描系统翻开的1些端口,比方135,139,445,1433,3306等等。按照差异的端口可能更为详细的测试是否有弱口令等等。
预防倡议：配置好系统IPsec平安策略，设置禁止某端口内部IP到本机的通讯，做好防火墙规定。1433，3306等把稳默赖账号的口令平安设置，不要把持弱口令。同时本地平安策略做好通讯加密设置，避免嗅探到1些缓慢的账号密码。
用御剑等软件查询同供职器网站，此后旁站入侵。
以上是自己罕用的1些思路和入侵本领，其实集团感慨1些网站的缝隙等等凡是因为经管人员的平安体会缺乏所酿成的，所以最次要的是经管人员有很好的平安体会和求助紧急体会。只要具有了不错的平安体会技术手段手段格式很好的做好网站的平安工作。也才会垂青网站供职器的平安。
