設為首頁
收藏本站
網站地圖
SEO經驗

seo經驗seo必備技能之網站安全防護

時間:2015-11-22 17:19來源:網絡 作者:羽毛球拍磅数越高意味着什么 點擊:

羽毛球拍磅数越高意味着什么 www.gcgea.com 警告:本篇文章篇幅過長,手機黨慎入!

前言: 織夢好,好織夢

在樓主認識的人當中,或者是網絡上見過的很大一部分做seo的,或者是搞網絡營銷行業的,自己對網站建設以及網站安全幾乎是沒有任何了解的,而他們自備的技能就是:大談各種網絡營銷手法。樓主從來不談論誰對誰錯,但樓主認為一個連網站都不懂的人,甚至都不知道都怎么管理好自己網站的人,絕對不是一個合格網絡從業者。(好吧,廢話有點多,今天應大家的要求,抽出點時間來給大家做一點普及,主題是:網絡安全防護方面。主要對網絡小菜而言的,大牛勿噴。) dedecms.com

大家知道我們做seo的周期很長,而且過程當中還要受到內外數據波動,如果這個時候大家又發現自己的網站被黑掉了。。那么。這對你來說,簡直是“要命了”!那么網站是怎么被黑的呢?被黑掉是怎么被破壞的呢?我們又該如何去防護呢?請看下文:

dedecms.com

本文會涉及到一些專業用語,大家如果有看不懂的可以自行百度,另外本文主要講的是一些基礎性的網站安全,并不是什么高大上的”黑客”,so。小伙伴們要分清哦。那么我們首先來了解一下網站是怎么做起來的吧。很多小伙伴認為做網站必須會div+css,沒錯,那些都是基礎,但很多年前網絡上有一些東西叫:cms。整站管理系統,我們可以一鍵搭建網站,只需要修改模板并修改自己想要的??榧純?。好下面了解一下常見的cms類型: 本文來自織夢

一:網站腳本分類:

內容來自dedecms

網站建設的腳本類型很多,常見的有:html、asp、php、jsp、aspx等。其中最常見的有asp、php等動態腳本語言,可以說80%的互聯網網站都是用這兩種做的,論安全性樓主覺得都沒有完艾富萊安全可言,但如果一定要分清楚的話,就是:jsp>aspx>php>asp。好,根據不同腳本的分類,樓主列舉幾個常見的cms,樓主先用php腳本做例子,asp很多年不用了,忘記有啥比較出名的cms了。 織夢好,好織夢

博客cms:wp、zb、mb; copyright dedecms

論壇:dz、phpwind;

copyright dedecms

新聞發布系統:dedecms、phpcms、帝國cms、php168等; 本文來自織夢

好,我們可以試著去這些cms的官網下載一套程序,然后本地使用php環境進行搭建,這里需要用到sql,需要數據庫安裝。那么重點在這里不是教大家怎么做站的,從各大cms來引出如何被黑掉的。因為這些cms不是自己一手寫出來的,所以多少有些地方存在漏洞,而這些漏洞足以讓所謂的黑客黑掉這些站。樓主也先不講cms漏洞的形成,因為每種cms代碼都不一樣,而且今天也不講代碼。。。

本文來自織夢

二:常見入侵手法 本文來自織夢

正是因為網絡上有大部分人在使用各種cms做站,方便快捷。但是會形成危險程度,假如某一個cms被爆了漏洞,羽毛球拍磅数越高意味着什么那么使用這個cms的成千上萬的網站,就會遭殃。事實上比較常見的比如:dz、dedecms(漏洞之王)。而cms的漏洞我們一般稱之為:0day;這些0day網絡一搜一大堆,但是出補丁的速度也很快: 織夢好,好織夢

copyright dedecms

。也許一段代碼、一個自動攻擊就可以獲取網站權限:常見的入侵手法有:0day;sql注入;弱口令;文件上傳;敏感路徑;旁注;等

織夢內容管理系統

(由于篇幅限制,樓主對這些手入侵法暫時一提,如果有時間可以一一講解)

織夢好,好織夢

三.常見利用手法 內容來自dedecms

那這些黑客們是怎么利用我們的網站的呢,首先通過網站漏洞入侵到網站,需要有一個獲取權限的東西,我們一般稱之為:webshell(可能有的小伙伴聽過,沒聽過的可以百度一下呀~)然后通過這個webshell進行網站文件的各種操作,webshell其實就是一個動態的腳本文件,這不過這個文件具有一些文件管理等等功能,上個圖吧: 織夢好,好織夢

aspwebshell

dedecms.com

copyright dedecms

獲取webshell,至于怎么獲取webshell,沒有統一的手法,最終的目的是把這些具有管理功能的動態腳本上傳的網站里面才可以進入下一步操作。通常在黑客的話里面,這個過程被叫做:滲透!好,這里我們也不講怎么獲取webshell,怎么入侵。在獲取權限之后,就可以進行一系列你想要的操作,比如:

織夢內容管理系統

1.黑鏈(在網站首頁掛隱藏鏈接,表面看不到,劫持權重)

dedecms.com

2.ddos(上傳一些帶有發包功能的腳本,消耗服務器資源,通常被稱為拒絕服務式攻擊。)

織夢內容管理系統

3.各種劫持(快照、欄目等等) 織夢內容管理系統

4.掛馬(在首頁什么地方,掛一個木馬,打開即中招。然后電腦變成“肉雞”) 織夢好,好織夢

5.流量等(比如用你的權重做一些什么詞的流量。。黑帽seo等)

織夢好,好織夢

6..脫褲(把sql數據庫導出本地,獲取大量會員信息密碼)等等。。

本文來自織夢

網站怎么利用完全看入侵者的意圖,不止這些,如果樓主說句實話的話,黑產牟利中這些只是冰山一角 織夢內容管理系統

四.如何更好的防御 織夢好,好織夢

好了,講到這里,大家都明白網站安全到底有多重要了吧,小伙伴們是不是要抽點時間惡補一下呢,比如最近經??吹剿淹饃嫌腥嗽諼剩閡趁姹喚儷?、網站域名被泛解析了(這種一般是獲取了域名的解析權限)等,我們知道原理之后,下一步最重要的就是如何做好防護措施。根據不同的需要大家可以進行選擇性的防御,樓主舉幾個例子,但不僅限于這些(ps:樓主才不是專業的搞維護的呢,樓主只是一個做seo的。): 織夢好,好織夢

1.cdn加速(國內常見的有百度加速樂、安全寶、360cdn等,cdn加速可有效的防御攻擊軟件的自動掃描,隱藏源ip。并且目前都各自帶有惡意代碼攻擊防御,是小菜必備的東西)

內容來自dedecms

2.及時升級各大cms補?。ㄕ飧隹隙ㄊ潛匭氡匭胍笆弊齙氖慮?。。) 織夢好,好織夢

3.服務器安裝安全狗、d盾之類的專業防護軟件(有效截斷各自攻擊。。主流的~)

內容來自dedecms

4.有些情況下,黑客們可以繞過cdn、防護軟件的防御,在網站上面留下后門文件,非常隱秘,此時我們只能找一些專業webshell查殺攻擊,比如啊dwebshell查殺,(啊d哥做的,專業三十載?。?

dedecms.com

5.然后就是,可以把自己網站的一些敏感目錄,比如data、admin設置為最高權限訪問,只有自己才能訪問,百度優化軟件要不就沒事不更新文章的時候,做一個寫入權限。羽毛球拍磅数越高意味着什么就算有漏洞也寫不進去代碼。有的空間控制面板中還帶有禁止某些腳本運行的功能,可謂十分強大,這些小伙伴們自己有時間了可以看看

dedecms.com

結尾:不知不覺寫了這么多了,由于篇幅限制先到這里吧??贍苡械耐Э吹哪D:?,但多研究下,相信可以看明白的。這些都是最基礎的知識。只要掌握這些技能,就可以:運籌帷幄,拒黑客于千里之外!還有一點就是:沒有絕對的安全,只有不斷進步的技術。 織夢好,好織夢

本篇到此結束,寫的不好,勿噴!有疑問的小伙伴可以在下面留言,有時間樓主會一一解答。打字打的手都麻了,能不能換來一個贊呢? 內容來自dedecms

2014.11.1搜外首發

織夢內容管理系統

織夢好,好織夢

你上面提的我都中過招清除了webshell和一些畸形圖片木馬文件后一般情況有沒有必要重新裝系統?以前有一段時間經常有人在我服務留個記事本告訴我他來過了.....但是沒發現有什么木馬文件,遇到這種情況一般怎么處理? 內容來自dedecms

還有一個問題就是木馬是否可以用JS來調用?如果可以的話一些小廣告聯盟深更半夜在JS里面加了木馬怎么辦? 內容來自dedecms

“你上面提的我都中過招清除了webshell和一些畸形圖片木馬文件后一般情況有沒有必要重新裝系統?以前有一···劉清文”webshell是無法使用js實現的,js除了在實現各種跳轉之外,還有個功能就是xss。這是一種更加高大上的攻擊手段,xss一般為獲取管理員cookie為目的,從而不用用戶密碼就可以登錄;清楚webshell和畸形路徑的木馬文件,包括圖片木馬?;褂幸壞閾枰闈宄竊趺幢蝗肭值?,是cms的漏洞還是服務器漏洞。一般沒必要重做系統。比較隱蔽的后門木馬比如:一句話木馬、遠程執行、服務系統畸形解析,這些都比較難以防御;如果清除不了的話,就要想別的辦法。

織夢好,好織夢

“剛剛網上找了些資料然后改了下 織夢內容管理系統

<html> 本文來自織夢

<···劉清文”你測試成功了嗎,我這里無法正常運行,這種形式被稱為小馬,用來寫大馬的。但這種js代碼我覺得肯定是寫不了內容的。必須包含asp或者php腳本標示符才行。

內容來自dedecms

“你測試成功了嗎,我這里無法正常運行,這種形式被稱為小馬,用來寫大馬的。但這種js代碼我覺得肯定是寫不了內容的。必須包含a···孔令峰”我測試了很多次成功了的,有些瀏覽器不兼容不能用還可以寫路徑CreateTextFile("c:\\1.asp",true)但是這個要建立在知道對方網站的根目錄下 copyright dedecms

“你測試成功了嗎,我這里無法正常運行,這種形式被稱為小馬,用來寫大馬的。但這種js代碼我覺得肯定是寫不了內容的。必須包含a···孔令峰”剛剛用這個JS果斷生成了一句話木馬用中國菜刀鏈接上了有點小恐怖。。。擔心掛了外部鏈接的JS廣告代碼..偶爾來陰一下..... 織夢好,好織夢

“剛剛用這個JS果斷生成了一句話木馬用中國菜刀鏈接上了有點小恐怖。。。擔心掛了外部鏈接的JS廣告代碼..偶爾來陰一下···劉清文”其實清文兄先不必糾結這個js能不能生成動態腳本文件,都能上傳了,直接上傳個大馬就ok了,或者寫個一句話。菜刀一連,ok。清文兄也接觸這一行,哈哈。 織夢好,好織夢

“令峰兄,請教下被入侵后怎么識別他是通過程序漏洞還是服務器漏洞進來的?只能通過IIS日志文件來查嗎?還有其他什么···劉清文”怎么識別怎么被入侵這個沒有統一的定義,比如說一個cms同時有0day和sql注入兩個漏洞,都可以進去。當然,有時候服務器漏洞也會導致網站被入侵掉。旁注:通過其他服務器的漏洞嗅探到你的服務器登陸信息,在同一個c段。如果服務器裝了防護軟件,可以通過日志來查看。事實上根本不可能把所有的漏洞都了解,因為沒有絕對的安全。只能平時的時候設置一下寫入權限等。seo經驗seo必備技能之網站安全防護。

內容來自dedecms

------分隔線----------------------------