服务人工
漏洞检测项目所有
优势解决不掉
APP漏洞检测支持
服务地区全国
许多客户在网站，以及APP上线的同时，都会提前的对网站进行全面的渗透测试以及安全检测，提前检测出存在的网站漏洞，以免后期网站发展过程中出现重大的经济损失，前段时间有客户找到我们SINE安全公司做渗透测试服务，在此我们将把对客户的整个渗透测试过程以及安全测试，发现的漏洞都记录下来，分享给大家，也希望大家更深地去了解渗透测试。
早上，我突然被客户告知，他部署在云平台的服务器被检测到webshell，已经查杀了，而且云平台检测到这个ip是属于我公司的，以为是我们公司做了测试导致的，问我这个怎么上传的webshell，我当时也是一脸懵逼，我记得很清楚这是我的项目，是我亲自测试的，上传点不会有遗漏的，然后开始了我的排查隐患工作。
巡检查杀首先，我明白自己要做的不是找到这个上传的位置是哪里出现的，我应该登上服务器进行webshel查杀，进行巡检，找找看是否被别人入侵了，是否存在后门等等情况。虽然报的是我们公司的ip，万一漏掉了几个webshell，被别人上传成功了没检测出来，那服务器被入侵了如何能行。所以我上去巡检了服务器，上传这个webshell查杀工具进行查杀，使用netstat-anpt和iptables-L判断是否存在后门建立，查看是否有程序占用CPU，等等，此处不详细展开了。万幸的是服务器没有被入侵，然后我开始着手思考这个上传点是怎么回事。
文档上传漏洞回顾首先，我向这个和我对接的研发人员咨询这个服务器对外开放的，要了之后打开发现，眼熟的不就是前不久自己测试的吗？此时，我感觉有点懵逼，和开发人员对质起这个整改信息，上次测试完发现这个上传的地方是使用了白名单限制，只允许上传jpeg、png等图片格式了。当时我还发现，这个虽然上传是做了白名单限制，也对上传的文档名做了随机数，还匹配了时间规则，但是我还是在返回包发现了这个上传路径和文档名，这个和他提议要进行整改，不然这个会造成这个文档包含漏洞，他和我反馈这个确实进行整改了，没有返回这个路径了。
添加软件防火墙
基于Web的防火墙解决方案可以监视传入连接并阻止可能具有威胁性的连接。管理防火墙是一项持续的活动，必须确保打开正确的端口并允许在开放的互联网上运行，同时持续Web服务器访问流量并根据网络威胁级别实时调整防护策略。
维护备份策略
服务器备份对于保持安全至关重要。在代码级别，数据应通过配置系统进行管理，随时跟踪每个更改并随时间存储版本记录，如发现安全漏洞便可及时修补。在数据库层，如果不是更频繁，则应至少每天记录完整快照备份，具体取决于发生的更改和添加类型。另外保持备份副本安全也非常重要，佳做法是在云环境中保留一组备份，在本地办公室的硬件上保留另一组备份。
使用HTTPS协议
HTTPS是以安全为目标的HTTP通道，简单讲是HTTP的安全版。HTTP下加入SSL层，是数据传输的安全基础。使用HTTPS协议，可以加密会员登录的账号密码，进而保护用户隐私。
编辑器漏洞
现在大多是后台编辑，利用编辑器漏洞，绕过安全验证，利用图片上传漏洞将木马直接植入数据库中。
解决方案：定期针对产品升级，安装补丁程序。
空间安全性较差
你一个的空间，每年支付了几百块的费用，但长期没有维护，很容易导致攻击。今天，还遇到一个用户来电话咨询，说自已的每年给现在的网建公司支付壹仟元的空间费，现在公司每月推广费用壹万左右。问为什么还是打不开？是否可以请彩圣策划来维护。听到这我们的技术专员真的给吓一跳，谁都知道空间流量限制，你说这样的费用空间商能给你提供多大的流量呢？还好意思说自已在百度推广。试问这样的情况哪家企业可以耽误得起？
解决方案：建议用户赶紧换空间，同时加强和服务器安全维护。
开源IDS系统有很多种，比较有名的系统有Snort、Suricata、Zeek等，我们选用Suricata是因为Suricata有多年的发展历史，沉淀了的各种威胁检测规则，新版的Suricata3与DPDK相结合，处理大级别的数据分析，Suricata支持Lua语言工具支持，可以通过Lua扩展对分析的各种实用工具。
Suricata与Graylog结合的原因，是因为在Graylog开源社区版本对用数据的数据处理量没有上限限制，可以扩展很多的结点来扩展数据存储的空间和瞬时数据处理的并发能力。Suricata在日志输出方面，可以将日志的输出，输出成标准的JSON格式，通过日志脚本收集工具，可以将日志数据推送给Graylog日志收集服务，Graylog只要对应创建日志截取，就可以对JSON日志数据，进行实时快速的收集与对日志数据结构化和格式化。将JSON按Key和Value的形式进行拆分，然后保存到ElasticSearch数据库中，并提供一整套的查询API取得Suricata日志输出结果。
在通过API取得数据这种形式以外，Graylog自身就已经支持了插件扩展，数据面板，数据查询前台，本地化业务查询语言，类SQL语言。通过开源IDS与开源SIEM结合，用Suricata分析威胁产生日志，用Graylog收集威胁事件日志并进行管理分析，可以低成本的完成威胁事件分析检测系统，本文的重点还在于日志收集的实践，检测规则的创建为说明手段。
Suricata经过多年发展沉淀了很多有价值的威胁检测规则策略，当然误报的情况也是存在的，但可能通过手动干预Surcicata的规则，通过日志分析后，迭代式的规则，让系统随着时间生长更完善，社区也提供了可视化的规则管理方案，通过后台管理方式管理Suricata检测规则，规则编辑本文只是简单介绍。Scirius就是一种以Web界面方式的Suricata规则管理工具，可视化Web操作方式进行管理Suricata规则管理。
SINE安全网站漏洞检测时必须要人工去审计漏洞和查找漏洞找出问题所在并修复漏洞，对各项功能都进行了全面的安全检测。
http://www.qdshtddzkj.com
