大部分网站容易被入侵吗?(3)

　　黑页里的特殊指纹，利于我追踪;

　　网站请求日志;

　　我的网站源码里是否有后门;

　　调查黑页不仅仅是为了拿到里面的特殊指纹，还有想看看是否有植入网马(如果有这个，那这个黑客太狠了，我非得把这个人挖出来并曝光)，或者更邪恶的XSS攻击(这个我估计很多很多人都想不到，如果有这个，我会很尊敬这个黑客)，我如此谨慎是因为如果是我要做些邪恶的事，我会这样做。

　　结果这个黑页很普通。于是开始查看网站请求日志(如果是我猜测的攻击手法，日志里不应该有什么明显特征)，果然日志里没什么奇怪的，基本肯定了我的猜测了。

　　但是我还是不放心，既然是我猜测的攻击手法，那这个黑客如果不是仅仅“just a joke”，那肯定还会留下后门，WordPress那么多文件，我如何最快的速度确定是否有后门呢?

　　我用Python脚本改写了两个程序(幸好之前我有积累)，一个脚本分析全球常见后门(Webshell)特征(允许误报)，一个脚本对比我之前备份过的文件Hash(担心被篡改植入一句话后门)。

　　半小时后，完成了这些检查(如下图)，看来这个黑客仅仅是想开个小玩笑而已。

　　那这个我已经猜测到的攻击手法是什么呢?很简单，我博客所在的主机权限配置很脆弱，只要这个主机上任意网站被黑，都可能威胁到我的博客，这个主机被黑客拿下了，然后看到我的博客居然在里面，顺手来了个玩笑。

　　---------END--------

　　你觉得你的网站很安全?无懈可击?或许有人会反驳：这些只是小网站!?

　　如何黑掉知乎?

　　这个话题是13年8月份知乎圆桌的活动引起的，上图来源乌云白帽猪猪侠。当时我注册知乎还没怎么开始玩，觉得很有意思，在我展开“行动”之前已经有了几个不错的回答：如何黑掉知乎?

　　看到回答之后鸡血指数直线上升，于是我也挖了一个存储型XSS跨站漏洞，弹了几个框。知乎正如 @李普君 所说体验真是出奇的好!登陆某管理员知乎账号后便能发现首页大大的[管理]二字，我如今已对权限的欲望已经逐渐萎缩，便没能好好珍惜住权限。

　　事后 @李申申 还送了我小礼物表示感谢，知乎对待安全的态度是蛮不错的。

　　说了那么多，最重要的来了!如何加固网站安全以及提高安全意识?

　　加固网站安全提高安全意识

　　一开始便提到了网站大致可分为几大块以及使用开源/闭源程序，如何加固?

　　网站程序的采用：

　　尽量采用大厂商提供的程序

　　关注一些安全厂商以及官方微博，第一时间获取是否出现新漏洞

　　市面上开源所能提供的已经很广泛了，没有特殊需要无所谓非要自己重新写套程序

　　服务器权限的配置：

　　关闭不需要的服务以及端口

　　定期的更新系统补丁

　　使用安全防御软件，例如安全狗、啊D等

　　文件列目录等权限最小化，尽量消减Guest权限

　　网站数据库不再使用ROOT权限，分配相应用户管理

　　Other：

　　使用WAF服务，例如加速乐、安全宝等

　　弱口令是大忌!

　　谨记权限最小化!

　　More...

　　关于安全意识：

　　不是没人能黑你，只是你没有价值被黑

　　不要等到出事后才想起来事前没做防护措施

　　密码定时更换，能少泄露自己的隐私就少泄露

　　多关注一些有关安全方面的人才，当然这需要你来筛分人才与“人才”

　　安全意识要潜意识的存在你的脑子里，别来个中奖就把安全意识扔到脑外

　　手机能够使用正版APP就使用，能够不越狱不ROOT就别做这些操作

　　涉及到敏感隐私以及账户安全的时候谨慎操作

　　More...

　　我想说：“世界是不安全的，无论在哪，这是一个傻子太多骗子用不过来的时代。”

原文转自：http://wang186.cn/post-286.html