許多客戶(hù)在網(wǎng)站，以及APP上線的同時(shí)，都會(huì)提前的對(duì)網(wǎng)站進(jìn)行全面的滲透測(cè)試以及安全檢測(cè)，提前檢測(cè)出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過(guò)程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時(shí)間有客戶(hù)找到我們SINE安全公司做滲透測(cè)試服務(wù)，在此我們將把對(duì)客戶(hù)的整個(gè)滲透測(cè)試過(guò)程以及安全測(cè)試，發(fā)現(xiàn)的漏洞都記錄下來(lái)，分享給大家，也希望大家更深地去了解滲透測(cè)試。
命令執(zhí)行的漏洞。應(yīng)用程序的某些函數(shù)需要調(diào)用可以執(zhí)行系統(tǒng)命令的函數(shù)。如果這些功能或者功能的參數(shù)可以被用戶(hù)控制，那么惡意的命令就有可能通過(guò)命令連接器拼接成正常的功能，從而可以隨意執(zhí)行系統(tǒng)命令。這就是命令執(zhí)行漏洞，這是高風(fēng)險(xiǎn)漏洞之一。

其實(shí)從開(kāi)發(fā)的角度，如果要保證代碼至少在邏輯方面沒(méi)有明顯的漏洞，還是有些繁瑣的。舉個(gè)簡(jiǎn)單的例子，如網(wǎng)站的數(shù)據(jù)檢驗(yàn)功能，不允許前端提交不符合當(dāng)前要求規(guī)范的數(shù)據(jù)（比如年齡文本框部分不能提交字母）。那么為了實(shí)現(xiàn)這個(gè)功能，首先開(kāi)發(fā)者肯定要在前端實(shí)現(xiàn)該功能，直接在前端阻止用戶(hù)提交不符規(guī)范的數(shù)據(jù)，否則用戶(hù)體驗(yàn)會(huì)很差，且占用服務(wù)器端的資源。
但是沒(méi)有安全意識(shí)或覺(jué)得麻煩的開(kāi)發(fā)者就會(huì)僅僅在前端用Js進(jìn)行校驗(yàn)，后端沒(méi)有重復(fù)進(jìn)行校驗(yàn)。這樣就很容易給惡意用戶(hù)機(jī)會(huì)：比如不通過(guò)前端頁(yè)面，直接向后端接口發(fā)送數(shù)據(jù)：或者，前端代碼編寫(xiě)不規(guī)范，用戶(hù)可以直接在瀏覽器控制臺(tái)中用自己寫(xiě)的Js代碼覆蓋原有的Js代碼；或者，用戶(hù)還可以直接在瀏覽器中禁用Js；等等。總之，前端的傳過(guò)來(lái)的數(shù)據(jù)可信度基本上可以認(rèn)為比較低，太容易被利用了。
而我的思路都是很簡(jiǎn)單的，就是關(guān)注比較重要的幾個(gè)節(jié)點(diǎn)，看看有沒(méi)有可乘之機(jī)。如登錄、權(quán)限判定、數(shù)據(jù)加載等前后，對(duì)方是怎么做的，用了什么樣的技術(shù)，有沒(méi)有留下很明顯的漏洞可以讓我利用。像這兩個(gè)網(wǎng)站，加載的Js文檔都沒(méi)有進(jìn)行混淆，注釋也都留著，還寫(xiě)得很詳細(xì)。比較湊巧的是，這兩個(gè)網(wǎng)站都用到了比較多的前端的技術(shù)，也都用到了sessionStorage。

插件技術(shù)的本質(zhì)是通過(guò)APP軟件的重要函數(shù)，模擬APP客戶(hù)端，欺服務(wù)器發(fā)送虛假數(shù)據(jù)的手段。例如，瘋狂的紅包軟件，其原理是利用HOOK技術(shù)紅包函數(shù)，制作插件與APP函數(shù)對(duì)接，達(dá)到插件的目的，一些大型APP軟件具有HOOK識(shí)別機(jī)制，但大多數(shù)APP仍然沒(méi)有保護(hù)的概念。解決方案:混淆或加密關(guān)鍵函數(shù)或代碼執(zhí)行過(guò)程。

修改后臺(tái)初始密碼
每個(gè)都有一個(gè)后臺(tái)賬戶(hù)，用于日常的維護(hù)更新，而很多后臺(tái)初始密碼都過(guò)于簡(jiǎn)單，在拿到后臺(tái)管理賬號(hào)密碼時(shí)，要先把初始密碼修改掉，帳號(hào)密碼要有一定的復(fù)雜度，不要使用域名、年份、姓名、純數(shù)字等元素，要知道密碼越好記也就意味著越容易被攻破。
SINE安全網(wǎng)站漏洞檢測(cè)時(shí)必須要人工去審計(jì)漏洞和查找漏洞找出問(wèn)題所在并修復(fù)漏洞，對(duì)各項(xiàng)功能都進(jìn)行了全面的安全檢測(cè)。
http://coolerbeats.net