虽然现在的网站安全防护技术已经得到了很大的提升，但是相应地，一些网站入侵技术也会不断地升级、进化。如何建设网站，因此，企业在进行网站建设管理的时候，一定不可以轻视网站安全这一块，建议企业周期性、长期性地用一些基本方法来检测企业网站的安全性，确保网站顺利、正常地运营下去。
应对措施：文档上传的绕过方法网上一搜有很多（比如upload-labs的各种方法、绕防火墙的各种方法（虽然很多已经过时），可能还有些没有公开的方法，总结一下：1.常规的绕过方法：文档后缀（大小写、文档别名等等）、文档名（文档名加分号、引号等等）、文档内容（比如图片马）、请求包结构等等。
2.结合服务器解析漏洞：IIS、apache、nginx的特定版本都有对应的解析漏洞。3.利用文档包含漏洞：如果有文档包含漏洞，可以结合文档包含漏洞，上传马。4.利用组件漏洞：如果知道组件版本和名称，可以网上找一下相应漏洞。注：手动一个一个去试各种方法，的确很麻烦，可以试试burpsuit的上传插件upload-scanner(但本人觉得并不好用）。

讨论回顾完上次整改的问题之后，理清了思路。然后我登录了网站查看一下原因，因为网站只有一个上传图片的地方，我进行抓包尝试，使用了repeater重放包之后，发现返回包确实没有返回文档上传路径，然后我又尝试了各种绕过，结果都不行。后苦思冥想得不到结果，然后去问一下这个云平台给他们提供的这个告警是什么原因。看了云平台反馈的结果里面查杀到有图片码，这个问题不大，上传文档没有执行权限，而且没有返回文档路径，还对文档名做了随机更改，但是为啥会有这个jsp上传成功了，这让我百思不得其解。
当我仔细云平台提供的发现webshel数据的时候，我细心的观察到了文档名使用了base编码，这个我很疑惑，都做了随机函数了还做编码干嘛，上次测试的时候是没有做编码的。我突然想到了问题关键，然后使用burpsuite的decoder模块，将文档名“1jsp”做了base编码成“MS5Kc1A=”，然后发送成功反馈状态码200，再不是这个上传失败反馈500状态码报错了。
所以，这个问题所在是，在整改过程中研发人员对这个文档名使用了base编码，导致文档名在存储过程中会使用base解析，而我上传文档的时候将这个后缀名.jsp也做了这个base编码，在存储过程中.jsp也被成功解析，研发没有对解析之后进行白名单限制。其实这种编码的更改是不必要的，毕竟原来已经做了随机数更改了文档名了，再做编码有点画蛇添足了，这就是为啥程序bug改一个引发更多的bug原因。

近，攻击者接管账户的尝试在不断增加。错误消息过于“详细周到”，往往使此类攻击更加容易。冗长的错误消息会引导攻击者了解他们需要进行哪些更改才能伪装成合法请求。API专为低负载下的高速交易而设计，使攻击者可以使用高性能系统找出有效账户，然后尝试登录并更改密码进行利用。解决方法：不要拿用户体验作为挡牌，有些看起来有利于用户体验的做法，未必有利于安全性。系统返回的错误信息不应该包括错误的用户名或错误的密码，甚至不能包含错误信息的类别（用户名还是密码错误）。用于查询数据的错误消息也是如此，如果查询/搜索格式不正确或由于某种原因而无法执行，则应该返回“没有营养”的错误信息：“糟糕，哪里出错了”。

中小企业，为什么受伤的总是我？
然而，虽然云存在有这样那样的问题，但企业上云已经成为众多企业用户的共识，也是未来发展的必然趋势，越来越多的行业客户也已经开始从传统 IDC 迁移上云。虽然目前绝大部分客户都是将自有企业及业务系统等较轻量的架构上云，但从 CSDN 新出炉的《2017 中国软件开发者》中，安全仍然是大多数企业在上云时面临的头号问题。
SINE安全网站漏洞检测时必须要人工去审计漏洞和查找漏洞找出问题所在并修复漏洞，对各项功能都进行了全面的安全检测。
http://www.qdshtddzkj.com