当前位置:首页 >  站长 >  建站经验 >  正文

APP被黑客攻击导致数据篡改泄露 如何渗透测试漏洞与修复解决

 2020-02-04 14:34  来源:A5用户投稿  我来投稿   websafe的个人主页 撤稿纠错

  短视频,自媒体,达人种草一站服务

APP渗透测试目前包含了Android端+IOS端的漏洞检测与安全测试,前段时间某金融客户的APP被黑客恶意攻击,导致APP里的用户数据包括平台里的账号,密码,手机号,姓名都被信息泄露,通过老客户的介绍找到我们SINE安全公司寻求安全防护上的技术支持,防止后期APP被攻击以及数据篡改泄露等安全问题的发生。针对于客户发生的网站被黑客攻击以及用户资料泄露的情况,我们立即成立了SINE安全移动端APP应急响应小组,关于APP渗透测试的内容以及如何解决的问题我们做了汇总,通过这篇文章来分享给大家。

首先要了解客户的情况,知彼知己百战不殆,客户APP架构开发是Web(php语言)+VUE框架,服务器采用的是Linux centos系统,数据库与WEB APP端分离,通过内网进行传输,大部分金融以及虚拟币客户都是采用此架构,有的是RDS数据库,也基本都是内网传输,杜绝与前端的连接,防止数据被盗,但是如果前端服务器(APP)存在漏洞导致被黑客攻击,那么攻击者很有可能利用该服务器的权限去远程连接数据库端,导致数据泄露,用户信息被盗取的可能。

然后对客户服务器里的APP代码,以及网站PHP源文件进行代码的安全审计,以及网站木马文件的检测与清除,包括网站漏洞测试与挖掘,我们SINE安全都是人工进行代码的安全审计与木马检查,下载了客户代码到本地电脑里进行操作,包括了APP的网站访问日志,以及APP的Android端+IOS端文件也下载了一份到手机里。我们在检测到客户APP里的充值功能这里存在SQL注入漏洞,因为本身网站选择的是thinkphp框架二次开发的,程序员在写功能的时候未对充值金额的数值进行安全判断,导致可以远程插入恶意的SQL注入代码到服务器后端进行操作,SQL注入漏洞可以查询数据库里的任何内容,也可以写入,更改,通过配合日志的查询,我们发现该黑客直接读取了APP后台的管理员账号密码,客户使用的后台地址用的是二级域名,开头是admin.XXXXX.com,导致攻击者直接登录后台。我们在后台的日志也找到黑客的登录访问后台的日志,通过溯源追踪,黑客的IP是菲律宾的,还发现后台存在文件上传功能,该功能的代码我们SINE安全对其做了详细的人工代码安全审计与漏洞检测,发现可以上传任意文件格式漏洞,包括可以上传PHP脚本木马。

攻击者进一步的上传了已预谋好的webshell文件,对APP里的网站数据库配置文件进行了查看,利用APP前端服务器的权限去连接了另外一台数据库服务器,导致数据库里的内容全部被黑客打包导出,此次安全事件的根源问题才得以明了,我们SINE安全技术继续对该金融客户的APP网站代码进行审计,总共发现4处漏洞,1,SQL注入漏洞,2,后台文件上传漏洞。3,XSS跨站漏洞,4,越权查看其它用户的银行卡信息漏洞。以及APP前端里共人工审计出6个网站木马后门文件,包含了PHP大马,PHP一句话木马,PHP加密,PHP远程调用下载功能的代码,mysql数据库连接代码,EVAL免杀马等等。

我们SINE安全对SQL注入漏洞进行了修复,对get,post,cookies方式提交的参数值进行了安全过滤与效验,限制恶意SQL注入代码的输入,对文件上传漏洞进行修复,限制文件上传的格式,以及后缀名,并做了文件格式白名单机制。对XSS跨站代码做了转义,像经常用到的<>script 等等的攻击字符做了拦截与转义功能,当遇到以上恶意字符的时候自动转义与拦截,防止前端提交到后台中去。对越权漏洞进行银行卡查看的漏洞做了当前账户权限所属判断,不允许跨层级的查看任意银行卡信息,只能查看所属账户下的银行卡内容。对检测出来的木马后门文件进行了隔离与强制删除,并对网站安全进行了防篡改部署,以及文件夹安全部署,服务器底层的安全设置,端口安全策略,等等的一系列安全防护措施。

至此客户APP渗透测试中发现的网站漏洞都已被我们SINE安全修复,并做了安全防护加固,用户信息泄露的问题得以解决,问题既然发生了就得找到漏洞根源,对网站日志进行溯源追踪,网站漏洞进行安全测试,代码进行安全审计,全方面的入手才能找出问题所在,如果您的APP也被攻击存在漏洞,不知道该如何解决,修复漏洞,可以找专业的网站安全渗透测试公司来解决,国内SINESAFE,鹰盾安全,绿盟,启明星辰,深信服都是比较专业的、也由衷的希望我们此次的安全处理过的分享能够帮到更多的人,网络安全了,我们才能放心的去运营APP。

作者: websafe    /    文章:111篇

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 一文了解IOS APP渗透测试的过程与分析

    IOS端的APP渗透测试在整个互联网上相关的安全文章较少,前几天有位客户的APP数据被篡改,导致用户被随意提现,任意的提币,转币给平台的运营造成了很大的经济损失,通过朋友介绍找到我们SINE安全公司寻求安全解决方案,防止APP继续被篡改与攻击,针对客户的这一情况我们立即成立安全应急响应小组,对客户的

  • 5G物联网安全测试对于DDOS攻击防护

    DDoS分布式拒绝服务攻击,已经变得越来越常见,越来越强大,很多攻击者都在使用物联网设备,来建立更多的连接和带宽,以及5G网络跟云应用的发展,随着暗网和加密货币的出现和匿名性,越来越多的人从暗网中发动DDOS攻击.

  • 数万用户信息被泄露 根源在于网站存在漏洞

    据SINE安全监测中心数据显示,中国智能手机制造商‘一加’,也叫OnePlus,被爆出用户订单信息被泄露,问题的根源是商城网站存在漏洞。国内网站安全公司通知一加手机商开始后,漏洞就开始暴露了,受影响的用户已经收到邮件通知,以及短信通知。

  • 谈谈网站登录在渗透测试中该如何查找漏洞?

    从业渗透测试服务已经有十几年了,在对客户网站进行漏洞检测,安全渗透时,尤其网站用户登录功能上发现的漏洞很多,想总结一下在渗透测试过程中,网站登录功能上都存在哪些网站安全隐患,下面就有请我们SINE安全的工程师老陈来给大家总结一下,让大家都有更好的了解网站,在对自己网站进行开发的过程中,尤其用户登录功

  • APP渗透测试 对文件上传功能的安全检测与webshell分析

    前段时间我们SINE安全收到客户的渗透测试服务委托,在这之前,客户网站受到攻击,数据被篡改,要求我们对网站进行全面的渗透测试,包括漏洞的检测与测试,逻辑漏洞.垂直水平越权漏洞,文件上传漏洞.等等服务项目,在进行安全测试之前,我们对客户的网站大体的了解了一下,整个平台网站。

  • 哪些类型的网站不适合使用虚拟主机?

    在如今的很多站长进行建站时,可能都会考虑选择虚拟主机。虚拟主机对比传统服务器,具有一定的优势,如操作简单、性价比也更高等特点,但也不可否认的是,虚拟主机在某些方面也具有较大的局限性,这也意味着并不是每一种网站都适合使用虚拟主机。今天与大家分享一些不适合使用虚拟主机的网站类型

    标签:
    虚拟主机
  • 网站安全防止被黑客攻击的办法

    从今年3月份全世界黑客攻击网站分析局势来看,黑客攻击的网站中中国占有了绝大多数。那麼作为一个公司或是开发公司,如何防止自身的网站黑客攻击,从企业网站建设之初,就应当搞好这种安全对策,当你的网站保证以下几个方面都做好了的话,相对性是较为安全的。

  • 一个小白影视站长的成长推广经历

    视频网站及抖音快手推广,可以通过视频剪辑的方式上传一些视频,到酷6,土豆,优酷,抖音,快手,上传视频都印上网站的LOGO或导入公众号。通过这样的方式也会为网站带来不少流量。

  • 电商时代,企业搭建商城系统的优势有哪些

    通过网上商城,消费者足不出户,即可轻松享受从产品咨询、下单、付款到收货的一站式客户体验。为了增强电商平台的互动性,独立商城系统还可以提供在线咨询、电话咨询与网络留言三种互动途径,消费者可以自由选择适合自己的方式与专职客服人员进行交流,互动性得到了显著提高。

    标签:
    商城系统
  • 建站CMS系统:织梦dedeCms、PageAdmin、帝国优缺点比较

    之前一直使用dedeCms建站的,时间也算很长了,但是最近我们公司用dede做的网站被频繁被挂马,网上已经找不到解决方法,客户天天投诉,dedecms从原创团队解散后,几年了基本没有什么更新和维护,没有办法只能重新寻找新的cms改版。

  • 痛定思痛!Shopify大规模封店给我们跨境卖家的启示

    就在昨天中午,毫无预兆的情况下,我们的Shopify店铺无法打开了,只显示wewillcomingsoon的提示。随后我们在一个群里也发现很多人跟我们一样遭遇,同样是没收到邮件通知,也没有任何先兆。

    标签:
    自助建站系统
  • 为什么在建站时最好选择独立IP的服务器

    企业网站在建设时,有一部分站长会为了让网站做的更加出彩选择在服务器方面压缩成本,所以会拒绝使用独立服务器,转而选择一些较为经济的空间。这其实是一种错误的做法,服务器是网站运营的根本,即使在网站设计方面节约一些成本,也一定要选择一个好的服务器,否贼会给网站日后的运营带来很多麻烦,省下的成本也许会在日后

    标签:
    独立IP主机
  • 在进行网站建设时 如何选择合适的服务器

    随着互联网带给传统行业的冲击越来越大,有很多企业都不得不选择通过搭建网站来保证自身的收益,但网站的搭建也并不是一件简单的事情,如果网站不能给用户带来很好的体验,那么可能就无法为企业带来正面的效果,反而会白白浪费运营网站的成本。

  • 谈谈分销系统那些事

    分销系统是新兴事物,有些老板对于分销系统这个行业的知识了解比较少,就会造成在选择分销系统公司时,有一些考虑不周全的地方,可以说有不少老板做分销系统的历程可谓是千辛万苦,不知道什么时候就出现了超出自己想象的麻烦。

    标签:
    分销系统
  • 建站指南丨如何低成本建设自己的网站?

    说起SugarHosts,是欧洲的老牌主机商了,提供虚拟主机、VPS、云主机、域名等业务,其中香港、洛杉矶中美极速数据中心的虚拟主机,是非常适合国内用户使用,免备案即开即用,网络优化很好,网速快延迟也低。总体来看Pro方案,性价比极高,强烈推荐,免费赠送SSL证书、独立IP,大大提高了网站实用性,关

榜单

热门排行

信息推荐

扫一扫关注最新创业资讯