网站漏洞整改报告.docx
- 文档编号:29960089
- 上传时间:2023-08-03
- 格式:DOCX
- 页数:10
- 大小:30.25KB
网站漏洞整改报告.docx
《网站漏洞整改报告.docx》由会员分享,可在线阅读,更多相关《网站漏洞整改报告.docx(10页珍藏版)》请在冰豆网上搜索。
网站漏洞整改报告
网站漏洞整改报告
网站漏洞整改报告
按照国家《中华人民共和国计算机信息系统安全保护条例》、《计算机信息网络国际联网安全保护管理办法》、《互联网安全保护技术措施规定》等有关法律法规规定,全面落实互联网安全保护制度和安全保护技术措施,对网站、信息安全进行了严格漏洞安全检查工作。
本次网站安全检查是完全站在攻击者角度,模拟黑客可能使用的攻击技术和漏洞发现技术进行的安全性测试,通过结合多方面的攻击技术进行测试,发现本校个别网站系统存在比较明显的可利用的安全漏洞,针对已存在漏洞的系统需要进行重点加固。
本次检查结果和处理方案如下:
高危漏洞0个页面
严重漏洞0个页面
警告漏洞0个页面
轻微漏洞0个页面
同主机网站安全正常
虚假或欺诈网站正常
挂马或恶意网站正常
恶意篡改正常
敏感内容正常
安全状况安全
漏洞类型:
SQL注入/XPath
请求方式:
POST
影响页面:
处理方案:
通过在Web应用程序中增加通用防注入程序来防止SQL注入攻击。
通用SQL防注入程序通常在数据库连接文件中被引入,并在程序执行过程中对常见的GET、POST、Cookie等提交方式进行过滤处理,拦截可能存在的SQL注入攻击。
漏洞类型:
SQL注入/XPath、XSS跨站脚本攻击
请求方式:
POST
影响页面:
处理方案:
此网站已经新做,新版正测试中,马上投入使用。
:
80/jp2005/08
漏洞类型:
XSS跨站脚本攻击
漏洞证据:
影响页面:
:
80/jp2005/08/flashshow.asp?
title=%CA%FD%D7%D6%B5%E7%C2%B7%D3%EB%CA%FD%D7%D6%B5%E7%D7%D3%BC%BC%CA%F5%BE%AB%C6%B7%BF%CE%B3%CC%C9%EA%B1%A8%CE%C4%BC%FE_%D0%BB%CB%C9%D4%C6">
处理方案:
方案一:
站在安全的角度看,必须过滤用户输入的危险数据,默认用户所有的输入数据都是不安全的,根据自身网站程序做代码修改。
方案二:
使用防护脚本。
(附代码)
<%
'Codebysafe3
OnErrorResumeNext
ifrequest.querystring<>""thencallstophacker(request.querystring,"'|<[^>]*?
>|^\+/v(8|9)|\b(and|or)\b.+?
(>|<|=|\bin\b|\blike\b)|/\*.+?
\*/|<\s*script\b|\bEXEC\b|UNION.+?
SELECT|UPDATE.+?
SET|INSERT\s+INTO.+?
VALUES|(SELECT|DELETE).+?
FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)")
ifRequest.ServerVariables("HTTP_REFERER")<>""thencalltest(Request.ServerVariables("HTTP_REFERER"),"'|\b(and|or)\b.+?
(>|<|=|\bin\b|\blike\b)|/\*.+?
\*/|<\s*script\b|\bEXEC\b|UNION.+?
SELECT|UPDATE.+?
SET|INSERT\s+INTO.+?
VALUES|(SELECT|DELETE).+?
FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)")
ifrequest.Cookies<>""thencallstophacker(request.Cookies,"\b(and|or)\b.{1,6}?
(=|>|<|\bin\b|\blike\b)|/\*.+?
\*/|<\s*script\b|\bEXEC\b|UNION.+?
SELECT|UPDATE.+?
SET|INSERT\s+INTO.+?
VALUES|(SELECT|DELETE).+?
FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)")
callstophacker(request.Form,"^\+/v(8|9)|\b(and|or)\b.{1,6}?
(=|>|<|\bin\b|\blike\b)|/\*.+?
\*/|<\s*script\b|<\s*img\b|\bEXEC\b|UNION.+?
SELECT|UPDATE.+?
SET|INSERT\s+INTO.+?
VALUES|(SELECT|DELETE).+?
FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)")
functiontest(values,re)
dimregex
setregex=newregexp
regex.ignorecase=true
regex.global=true
regex.pattern=re
ifregex.test(values)then
IP=Request.ServerVariables("HTTP_X_FORWARDED_FOR")
IfIP=""Then
IP=Request.ServerVariables("REMOTE_ADDR")
endif
'slog("
操作IP:
"&ip&"
操作时间:
"&now()&"
操作页面:
"&Request.ServerVariables("URL")&"
提交方式:
"&Request.ServerVariables("Request_Method")&"
提交参数:
"&l_get&"
提交数据:
"&l_get2)
Response.Write(" fixed;top: 0px;width: 100%;height: 100%;background-color: white;color: green;font-weight: bold;border-bottom: 5pxsolid#999;'>
您的提交带有不合法参数,谢谢合作!
Response.end
endif
setregex=nothing
endfunction
functionstophacker(values,re)
diml_get,l_get2,n_get,regex,IP
foreachn_getinvalues
foreachl_getinvalues
l_get2=values(l_get)
setregex=newregexp
regex.ignorecase=true
regex.global=true
regex.pattern=re
ifregex.test(l_get2)then
IP=Request.ServerVariables("HTTP_X_FORWARDED_FOR")
IfIP=""Then
IP=Request.ServerVariables("REMOTE_ADDR")
endif
'slog("
操作IP:
"&ip&"
操作时间:
"&now()&"
操作页面:
"&Request.ServerVariables("URL")&"
提交方式:
"&Request.ServerVariables("Request_Method")&"
提交参数:
"&l_get&"
提交数据:
"&l_get2)
Response.Write(" fixed;top: 0px;width: 100%;height: 100%;background-color: white;color: green;font-weight: bold;border-bottom: 5pxsolid#999;'>
您的提交带有不合法参数,谢谢合作!
Response.end
endif
setregex=nothing
next
next
endfunction
subslog(logs)
dimtoppath,fs,Ts
toppath=Server.Mappath("/log.htm")
Setfs=CreateObject("scripting.filesystemobject")
IfNotFs.FILEEXISTS(toppath)Then
SetTs=fs.createtextfile(toppath,True)
Ts.close
endif
SetTs=Fs.OpenTextFile(toppath,8)
Ts.writeline(logs)
Ts.Close
SetTs=nothing
Setfs=nothing
endsub
%>
漏洞类型:
XSS跨站脚本攻击
漏洞证据:
影响页面:
:
80/servlet/Redirect?
linkto=/structure/wqfw"-->;alert(42873);"
处理方案:
方案一:
站在安全的角度看,必须过滤用户输入的危险数据,默认用户所有的输入数据都是不安全的,根据自身网站程序做代码修改。
方案二:
使用防护脚本。
输入资料过滤
<%
Stringmessage=request.getParameter("message");
message=message.replace('<','');
message=message.replace('>','');
message=message.replace('"','');
message=message.replace('\'','');
message=message.replace('/','');
message=message.replace('%','');
message=message.replace(';','');
message=message.replace('(','');
message=message.replace(')','');
message=message.replace('&','');
message=message.replace('+','_');
out.print(message);
%>
漏洞类型:
SQL注入漏洞(盲注)
漏洞证据:
InjectionType:
String
DatabaseType:
Access
影响页面:
处理方案:
1.在网页代码中需要对用户输入的数据进行严格过滤。
(代码如)
2.部署Web应用防火墙
3.对数据库操作进行监控
通过本次网站安全检查,发现使用学校统一的站群做的网站都没有问题,发现问题的都是各部门自建的网站,以后要加强安全管理宣传,自建网站逐步过渡到统一的站群管理系统以方便安全管理。
进一步规范管理,加强检查。
不断完善细化信息公开内容,增加发布信息量,提高数据的及时性、准确性,增强服务意识,推动各项工作健康有序发展。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网站 漏洞 整改 报告