中午吃完饭回来接到老板任务，说下午要去一个单位做安全评估的交流，给了我那个单位的网站地址，让我先看看有什么安全问题
正晕着呢，时间还很紧，但也得硬着头皮应了好～
毕竟没有拿到人家的授权，不能用扫描器进行扫描，只能被动分析。不怕，我有Firefox哈~
开始浏览站点
令人郁闷的是这个站点居然是Firefox不友好的，页面的JS文件居然用了微软的混淆器，搞了个JS.Encode，ft！
没辙，上IE
架上代理，设置IE代理，开始干活。
此处省略1024字。。。
半小时过去了，发现了一些有趣的安全问题
1. 作为新闻类网站，所有的新闻URL居然没有做任何的SQL注入过滤，汗
2. 网站发布时居然没有删除开发过程中编辑源代码产生的备份文件，其直接结果就是我可以远程查看它的服务器端脚本源代码，再次汗
3. 留言板居然可以直接写js，汗死
有了这些发现，下午的交流自然进行的比较顺利，也算不辱使命了吧o(∩_∩)o
原创文章，转载请注明： 转载自猪在笑 [ http://www.huangwei.me/blog/ ]
本文链接地址: http://www.huangwei.me/blog/2007/07/09/coieaeaaau-2/
最近评论