当前位置:首页 >  站长 >  建站经验 >  正文

网站被攻击 该怎样查找漏洞并进行修复

 2019-07-29 11:32  来源: A5用户投稿   我来投稿   websafe的个人主页 撤稿纠错

  短视频,自媒体,达人种草一站服务

很多公司的网站被攻击,导致网站打开跳转到别的网站上去,网站快照也被篡改,收录一些非法的内容快照,有些网站数据库都被篡改,修改了会员资料,数据库被删除,等等攻击症状,我们SINE安全在解决客户网站被攻击的问题,发现都是由于网站存在漏洞导致的,攻击者利用网站的漏洞对网站进行攻击,上传webshell文件,进而对网站进行篡改。

那么该如何查找网站目前存在的漏洞?并对其修复防止网站被攻击呢?我们SINE安全在对其他客户网站进行攻击处理的时候总结了以下一些常见的网站漏洞:

首先大部分的网站都是使用的开源系统,像织梦,discuz,wordpress系统都是比较常见的,有些公司网站使用的是单独的服务器,像linux centos系统,目前使用的很多,并使用的宝塔面板来对网站的环境,数据库进行安装。默认情况下有些软件是存在漏洞的,我们总结了一下Redis跟Memcached环境导致的未授权远程访问漏洞的查找与修复办法.

redis是目前用的较多的一个数据库,也是关系型数据库的一种,默认安装的时候端口会设置为6379端口,并开放公网访问,导致数据库的服务端口暴露在外面,默认配置文件没有开启安全限制,导致任意用户都可以访问redis的服务端口,并读取redis的配置数据,攻击者可以使用该漏洞对服务器的系统目录进行写入文件,可以直接获取服务器的系统权限,通过SSH端口私钥登录。安全风险极高,可以导致网站被攻击,被入侵。

redis未授权访问漏洞的修复办法,修改redis配置文件redis.conf,在文件代码里找到requirepass值,默认为空的密码,对其进行增加密码,写入一个字母加数字加大小写的组合,使redis远程连接的时候需要密码验证才能访问.也可以对默认的6379端口进行端口安全限制,限制IP远程连接,只允许内网进行连接,这样很大程度上可以防止网站被攻击。

还有一个是Memcached漏洞的查找,该软件也是默认安装到服务器里的,Memcached是高速缓存的系统,可以将缓存的数据写入到服务器内存里,一些经常用的数据,比如经常对数据库进行查询,写入,就可以使用这个缓存系统对其进行缓存到内存里,加快数据的读取速度与查询速度,该网站漏洞的查找也是端口的形式,默认安装的是11211端口,用nmap对网站端口进行扫描,查看是否开启11211端口,连接得到这个端口,就说明漏洞存在,可以使用任意的账号无需密码可以对Memcached进行访问,直接写入webshell到网站的根目录下,对网站进行攻击操作。

Memcached漏洞修复方案是使用阿里云的端口安全组,对11211端口进行拦截,防止外网IP对其进行访问,对Memcached的配置文件进行修改,增加密码验证访问。

网站被攻击,大部分都是由于漏洞导致的,以上2个漏洞是我们SINE安全在给客户网站处理攻击的时候发现都存在的漏洞,还有一些网站代码的漏洞像dedecms,phpcms,建站之星等等代码的漏洞我们下一篇文章会继续跟大家分享,只有网站安全了才能给网站带来长久稳定的利益,也希望更多的网站运营者重视网站的安全维护与防护。

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

作者: websafe    /    文章:148篇

相关文章

  • 网站建设中常见的数据库SQL漏洞有哪些?

    近年来国家对互联网高科技扶持力度逐渐加大,我国正式进入信息化高速发展的时代,随着信息数据成百倍的增长,伴随而来的信息数据安全问题正在面临严峻的挑战,在企业中网站是企业的形象,网站安全不可忽略,接下来小编就带大家聊聊网站建站中常见的SQL漏洞。

  • 网站安全渗透测试的多种姿势

    我认为,无论是带着全栈的工作经验,还是只能一部分技术性专业知识,要想搞好安全测试务必先变换我们观查软件的角度。举个事例,我们一起看一下:一样一幅画,许多人一眼看以往见到的是2个面部,而许多人见到的是一个大花瓶。这就是观查角度的不一样导致的。在我一开始触碰安全测试时就很深的感受来到这一点。那时候我还在

  • 网络安全公司实习生的经验分享

    前几日,见到TSRC的小密圈里进行了一个“高手”主题活动,聊一聊刚入行后,你心中身旁的高手,刚见到主题活动的情况下哥哥去参加了。这里,再次整理一下,也衷心感谢聊一聊零基础的我是怎样迈入安全行业,小结一下本身的成长历程,谢谢一下这一路上遇到的人。读大学那会,人们学的网络安全就真的是纯碎的”网络安全“,

  • 网站渗透测试中的历程经验记录分析

    伴随着我的客户圈慢慢扩展,我的薄弱点也更加突显,例如我长期性摸着内部网,对外部网不太熟,对传统式的安全研究评估也拿捏不准确,一个详细的安全新项目自己压根担负不了。

    标签:
    网站漏洞
  • 网站安全渗透测试行业如何踏入

    实际上这个问题有很多人跟我说,非科班可不可以?没触碰过程序编写,去培训班培训几个月可不可以?30岁了想从传统产业改行回来从业网络信息安全可不可以?实际上从我前边的叙述大伙儿也可以看出去,安全行业实际上对出身并不是很注重,但这也并不代表轻易就能改行回来。

热门排行

信息推荐

扫一扫关注最新创业资讯