許多客戶在網(wǎng)站，以及APP上線的同時，都會提前的對網(wǎng)站進行全面的滲透測試以及安全檢測，提前檢測出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過程中出現(xiàn)重大的經(jīng)濟損失，前段時間有客戶找到我們SINE安全公司做滲透測試服務(wù)，在此我們將把對客戶的整個滲透測試過程以及安全測試，發(fā)現(xiàn)的漏洞都記錄下來，分享給大家，也希望大家更深地去了解滲透測試。
早上，我突然被客戶告知，他部署在云平臺的服務(wù)器被檢測到webshell，已經(jīng)查殺了，而且云平臺檢測到這個ip是屬于我公司的，以為是我們公司做了測試導(dǎo)致的，問我這個怎么上傳的webshell，我當時也是一臉懵逼，我記得很清楚這是我的項目，是我親自測試的，上傳點不會有遺漏的，然后開始了我的排查隱患工作。
巡檢查殺首先，我明白自己要做的不是找到這個上傳的位置是哪里出現(xiàn)的，我應(yīng)該登上服務(wù)器進行webshel查殺，進行巡檢，找找看是否被別人入侵了，是否存在后門等等情況。雖然報的是我們公司的ip，萬一漏掉了幾個webshell，被別人上傳成功了沒檢測出來，那服務(wù)器被入侵了如何能行。所以我上去巡檢了服務(wù)器，上傳這個webshell查殺工具進行查殺，使用netstat-anpt和iptables-L判斷是否存在后門建立，查看是否有程序占用CPU，等等，此處不詳細展開了。萬幸的是服務(wù)器沒有被入侵，然后我開始著手思考這個上傳點是怎么回事。
文檔上傳漏洞回顧首先，我向這個和我對接的研發(fā)人員咨詢這個服務(wù)器對外開放的，要了之后打開發(fā)現(xiàn)，眼熟的不就是前不久自己測試的嗎？此時，我感覺有點懵逼，和開發(fā)人員對質(zhì)起這個整改信息，上次測試完發(fā)現(xiàn)這個上傳的地方是使用了白名單限制，只允許上傳jpeg、png等圖片格式了。當時我還發(fā)現(xiàn)，這個雖然上傳是做了白名單限制，也對上傳的文檔名做了隨機數(shù)，還匹配了時間規(guī)則，但是我還是在返回包發(fā)現(xiàn)了這個上傳路徑和文檔名，這個和他提議要進行整改，不然這個會造成這個文檔包含漏洞，他和我反饋這個確實進行整改了，沒有返回這個路徑了。

據(jù)估計，每個每天都會受到22次攻擊，這就是為什么需要在上線之前制定安全計劃的原因。否則，也許會成為加密劫持、勒索軟件、DDoS、網(wǎng)絡(luò)或更糟糕的網(wǎng)絡(luò)威脅情況的受害者。

假如你是hack，準備攻擊一家企業(yè)，那么首先要做的件事就是識別盡可能多的API。我首先按常規(guī)方式使用目標應(yīng)用程序，在瀏覽器中打開Web應(yīng)用程序或者在手機端安裝移動應(yīng)用程序，然后使用代理監(jiān)視通信。代理能夠捕獲瀏覽器或移動應(yīng)用程序?qū)蠖薟eb服務(wù)器發(fā)出的所有請求，從而使攻擊者可以對所有可用的API端點進行分類。例如，大多數(shù)API都將API/V1/login作為身份驗證端點。
如果目標也是移動應(yīng)用程序，則將應(yīng)用程序包拆開，并查看應(yīng)用程序內(nèi)部可用的API調(diào)用。考慮到所有可能的活動，攻擊者可以搜索無確保護用戶數(shù)據(jù)的常見配置錯誤或API。后，攻擊者尋找API文檔。一些組織為第三方發(fā)布API文檔，但為所有用戶使用相同的API端點。有了一個不錯的端點清單，攻擊者就可以測試標準用戶行為和異常行為測試，可以通過兩種方法找到有趣的漏洞。

應(yīng)對措施：文檔上傳的繞過方法網(wǎng)上一搜有很多（比如upload-labs的各種方法、繞防火墻的各種方法（雖然很多已經(jīng)過時），可能還有些沒有公開的方法，總結(jié)一下：1.常規(guī)的繞過方法：文檔后綴（大小寫、文檔別名等等）、文檔名（文檔名加分號、引號等等）、文檔內(nèi)容（比如圖片馬）、請求包結(jié)構(gòu)等等。
2.結(jié)合服務(wù)器解析漏洞：IIS、apache、nginx的特定版本都有對應(yīng)的解析漏洞。3.利用文檔包含漏洞：如果有文檔包含漏洞，可以結(jié)合文檔包含漏洞，上傳馬。4.利用組件漏洞：如果知道組件版本和名稱，可以網(wǎng)上找一下相應(yīng)漏洞。注：手動一個一個去試各種方法，的確很麻煩，可以試試burpsuit的上傳插件upload-scanner(但本人覺得并不好用）。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對各項功能都進行了全面的安全檢測。
http://coolerbeats.net