雖然現(xiàn)在的網(wǎng)站安全防護(hù)技術(shù)已經(jīng)得到了很大的提升，但是相應(yīng)地，一些網(wǎng)站入侵技術(shù)也會(huì)不斷地升級(jí)、進(jìn)化。如何建設(shè)網(wǎng)站，因此，企業(yè)在進(jìn)行網(wǎng)站建設(shè)管理的時(shí)候，一定不可以輕視網(wǎng)站安全這一塊，建議企業(yè)周期性、長期性地用一些基本方法來檢測企業(yè)網(wǎng)站的安全性，確保網(wǎng)站順利、正常地運(yùn)營下去。
文檔包含的概念很好理解，編程中經(jīng)常用到，比如python中的import、c中的include，php當(dāng)然也不例外。但php“牛逼”的地方在于即使包含的文檔不是php類型，也不會(huì)報(bào)錯(cuò)，并且其中包含的php代碼也會(huì)執(zhí)行，這是文檔包含漏洞產(chǎn)生的根本原因。文檔包含漏洞和任意文檔漏洞很相似，只不過一個(gè)是解析，一個(gè)是。
漏洞利用的幾種方式：1.向服務(wù)器寫馬：圖片中寫惡意代碼(結(jié)合文檔上傳），錯(cuò)誤日志寫惡意代碼(錯(cuò)誤訪問會(huì)被記錄到錯(cuò)誤日志中），session中寫惡意代碼。訪問圖片、日志文檔或session文檔，服務(wù)器生成木馬，直接getshell。2.讀取敏感文檔：結(jié)合目錄遍歷漏洞讀取敏感文檔。3.偽協(xié)議：偽協(xié)議可以使用的話，可以嘗試讀取文檔或命令執(zhí)行。

獲取SSL證書
如果您計(jì)劃在Web服務(wù)器上傳輸任何敏感用戶數(shù)據(jù)，則必須使用安接字層(SSL)證書。SSL是一種在瀏覽器級(jí)別發(fā)生的加密協(xié)議，可確保所有傳入和傳出的Web請(qǐng)求都被外部人員屏蔽。作為所有者，您有責(zé)任從機(jī)構(gòu)獲取有效的SSL證書并使其保持新。使用您的域名配置后，用戶將在瀏覽器中看到URL旁邊的掛鎖符號(hào)，這是安全的通用指標(biāo)。
使用CDN加速
盡管近年來全球互聯(lián)網(wǎng)速度越來越快，連接不同地域時(shí)仍會(huì)遇到延遲，一種流行的解決方案是采用CDN加速。CDN提供商在不同區(qū)域維護(hù)一組服務(wù)器用于緩存內(nèi)容的某些部分，以提高加載速度并實(shí)現(xiàn)大規(guī)模流量的負(fù)載均衡，降低DDoS攻擊損害。

近，攻擊者接管賬戶的嘗試在不斷增加。錯(cuò)誤消息過于“詳細(xì)周到”，往往使此類攻擊更加容易。冗長的錯(cuò)誤消息會(huì)引導(dǎo)攻擊者了解他們需要進(jìn)行哪些更改才能偽裝成合法請(qǐng)求。API專為低負(fù)載下的高速交易而設(shè)計(jì)，使攻擊者可以使用高性能系統(tǒng)找出有效賬戶，然后嘗試登錄并更改密碼進(jìn)行利用。解決方法：不要拿用戶體驗(yàn)作為擋牌，有些看起來有利于用戶體驗(yàn)的做法，未必有利于安全性。系統(tǒng)返回的錯(cuò)誤信息不應(yīng)該包括錯(cuò)誤的用戶名或錯(cuò)誤的密碼，甚至不能包含錯(cuò)誤信息的類別（用戶名還是密碼錯(cuò)誤）。用于查詢數(shù)據(jù)的錯(cuò)誤消息也是如此，如果查詢/搜索格式不正確或由于某種原因而無法執(zhí)行，則應(yīng)該返回“沒有營養(yǎng)”的錯(cuò)誤信息：“糟糕，哪里出錯(cuò)了”。

同樣地，由于可用的參數(shù)太多，收集數(shù)據(jù)將成為顯而易見的下一步行動(dòng)。許多企業(yè)的系統(tǒng)支持匿名連接，并且傾向泄漏普通用戶不需要的額外數(shù)據(jù)。另外，許多企業(yè)傾向于存儲(chǔ)可以直接訪問的數(shù)據(jù)。安全人員正在努力應(yīng)對(duì)API請(qǐng)求經(jīng)常暴露數(shù)據(jù)存儲(chǔ)位置的挑戰(zhàn)。例如，當(dāng)我查看安全攝像機(jī)中的視頻時(shí)，可以看到該信息來自AmazonS3存儲(chǔ)庫。通常，那些S3存儲(chǔ)庫的保護(hù)并不周全，任何人的數(shù)據(jù)都可以被檢索。
另一個(gè)常見的數(shù)據(jù)挑戰(zhàn)是數(shù)據(jù)過載，很多企業(yè)都像入冬前的花栗鼠，存儲(chǔ)的數(shù)據(jù)量遠(yuǎn)遠(yuǎn)超出了需要。很多過期用戶數(shù)據(jù)已經(jīng)沒有商業(yè)價(jià)值和保存價(jià)值，但是如果發(fā)生泄密，則會(huì)給企業(yè)帶來巨大的和合規(guī)風(fēng)險(xiǎn)。解決方法：對(duì)于存儲(chǔ)用戶數(shù)據(jù)的企業(yè)，不僅僅是PII或PHI，都必須進(jìn)行徹底的數(shù)據(jù)審查。在檢查了存儲(chǔ)的數(shù)據(jù)之后，應(yīng)制定數(shù)據(jù)訪問規(guī)則并進(jìn)行測試。確保能夠匿名訪問的數(shù)據(jù)不涉及任何敏感數(shù)據(jù)。
SINE安全網(wǎng)站漏洞檢測時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測。
http://coolerbeats.net