Hier, j'ai examiné les statistiques de fréquentation du site Web et j'ai constaté qu'au cours des derniers mois, le nombre de visites d'un article sur les virus des réseaux informatiques est resté élevé. Les virus des réseaux informatiques ont toujours préoccupé de nombreuses personnes, y compris nos clients. , et les pirates aussi. De nombreux utilisateurs parlent d'être pervers. Il y a quelque temps, j'ai vu un article qui disait : "Actuellement, l'intrusion sur un site Web est devenue très simple et le seuil est de plus en plus bas. N'importe qui peut simplement télécharger l'outil d'intrusion depuis le site Web du pirate informatique, c'est-à-dire peut déclencher une intrusion", alors aujourd'hui je vais parler de ma compréhension de l'intrusion d'un site Web !
Nous pouvons voir que la plupart des sites Web actuels sont statiques, c'est-à-dire que le suffixe est .htm ou .html. Cependant, des sites Web dynamiques peuvent également être vus, comme php, jsp, asp, mais c'est tout. devenez la cible d'une intrusion ! Parce que si vous souhaitez envahir ces sites Web statiques, la probabilité de succès est très faible à moins que vous n'obteniez directement le serveur sur lequel se trouve le site Web, mais ce n'est pas le cadre de la technologie d'intrusion de sites Web, en fait, bien souvent, avec quelques mesures simples ; , vous pouvez éliminer un grand nombre de pirates informatiques débutants et débutants et est déjà relativement sûr pour les sites Web d'entreprise ordinaires. Permettez-moi ensuite de parler des techniques d'intrusion sur les sites Web les plus couramment utilisées :
Vulnérabilité d'injection : La première chose dont nous voulons parler est bien sûr la vulnérabilité d'enregistrement. Nous savons que cette vulnérabilité est la vulnérabilité la plus utilisée et la plus mortelle. On peut dire que le site officiel de Microsoft présente également une vulnérabilité d'injection.
La raison de la vulnérabilité d'injection est que le filtrage des caractères n'est pas strictement interdit et que le mot de passe du compte de l'administrateur et d'autres informations associées peuvent être obtenus. De nos jours, il existe de nombreux outils qui peuvent être utilisés pour deviner les mots de passe des comptes.
Vulnérabilité de téléchargement : Grâce à la vulnérabilité de téléchargement, vous pouvez directement obtenir WEBSHELL, qui est également une vulnérabilité courante. Les intrus sur le site Web ajouteront /upfile.asp après l'URL, qui affichera : Le format de téléchargement est incorrect [re-upload]. Fondamentalement, il existe une vulnérabilité de passage long. Trouvez un outil capable de télécharger (DOMAIN3.5) pour obtenir. WEBSHELL directement ; et WEBSHELL En fait, il s'agit simplement d'une autorisation WEB. Vous avez besoin de cette autorisation pour modifier les pages d'accueil d'autres personnes. Cependant, si vous accédez à un serveur avec des paramètres d'autorisation médiocres, vous pouvez obtenir l'autorisation la plus élevée via WEBSHELL.
Piratage de base de données (c'est-à-dire téléchargement direct dans la base de données) : il n'est pas difficile de voir que certains novices téléchargent un programme gratuit directement depuis Internet, le téléchargent et l'utilisent directement, et ce type de site Web est la principale cible du piratage. ; en utilisant le dicton sur Internet C'est-à-dire « vous pouvez obtenir le fichier de base de données en croisant le caractère. Une fois que vous aurez obtenu le fichier de base de données, vous aurez directement les autorisations du front-end ou du back-end du site » ;
Quand j'étais encore à l'école, le professeur m'a dit que pour garantir la sécurité des données, le site Web devait effectuer un test de pénétration de la base de données après sa mise en ligne. Cependant, depuis que je travaillais dans une entreprise de construction de sites Web à Shenzhen, j'ai appris que cela nécessitait un professionnel. entreprise de sécurité ! A moins que vous soyez vous-même ou que vous ayez une personne technique aussi forte autour de vous !
Si vous souhaitez télécharger un tel programme depuis Internet, il est préférable de modifier le chemin et le fichier de base de données se termine par asp Lors du téléchargement, remplacez asp par MDB. S'il ne peut toujours pas être téléchargé, il y a peut-être un anti-téléchargement. !
Quant aux notes latérales, en termes simples, le but de l'intrusion est atteint via des courbes. Cependant, DOMIAN3.5 peut détecter des intrusions telles que l'injection, les notes latérales et les téléchargements. Quant à l'usurpation de COOKIE, il utilise en fait des outils pour modifier les cookies (ID, md5) pour tromper le système. Pensez que vous êtes un administrateur, afin d'atteindre le but de l'intrusion !
[Cet article est original, veuillez indiquer la source de réimpression de la construction du site Web de Shenzhen http://www.eims.cc/ ]
Merci à freegn pour votre contribution