网站漏洞整改报告

1、网站漏洞整改报告（整理人：拂晓）按照国家中华人民共和国计算机信息系统安全保护条例、计算机信息网 络国际联网安全保护管理办法、互联网安全保护技术措施规定等有关法律法 规规定，全面落实互联网安全保护制度和安全保护技术措施， 对网站、信息安全 进行了严格漏洞安全检查工作。本次网站安全检查是完全站在攻击者角度， 模拟黑客可能使用的攻击技术和 漏洞发现技术进行的安全性测试，通过结合多方面的攻击技术进行测试， 发现本 校个别网站系统存在比较明显的可利用的安全漏洞， 针对已存在漏洞的系统需要 进行重点加固。本次检查结果和处理方案如下：高危漏洞0个贝闻严重漏洞0个页间警告漏洞0个贝闻轻微漏洞0个贝闻www H

2、H.edu.c同主机网站安全正常n虚假或欺诈网站正常挂马或恶意网站正常恶意篡改正常敏感内容正常安全状况安全som. .c漏洞类型：SQL 注入/XPath请求方式：POST影响页向:htt|：/som.nWIUI/webDeanBoxAction.do处理方案：通过在Web应用程序中增加通用防注入程序来 防止SQL注入攻击。通用SQL防注入程序通常 在数据库连接文件中被引入，并在程序执行过程中对常见的 GET POST Cookie等提交方式进行过滤处理，拦截可能存在的SQL注入攻击。漏洞类型：SQL注入/XPath、XS所站脚本攻击请求方式：POSTsyscBB.c n影响

3、贝闻: HYPERLINK /sbcxsearch.asp /sbcxsearch.asp处理方案：此网站已经新做，新版正测试中，马上投入使 用。漏洞类型：XSS夸站脚本攻击漏洞证据：alert(42873)影响贝闻：http：/：80/jp2005 /08/flashshow.jpHH:80/jp2005/08asp?title=%CA%FD%D7%D6%B5%E7%C2%B79 %EB%CA%FD%D7%D6%B5%E7%D7%D3%BC %CA%F5%BE%AB%C6%B7%BF%CE%B3%CC EA%B1%A8%CE%C4%BC%FE_%D0%BB%CB% D4%C6alert(42

4、873)oD3%BC%C9%AC9%处理方案：方案一：站在安全的角度看，必须过滤用户输 入的危险数据，默认用户所有的输入数据都是 不安全的，根据自身网站程序做代码修改。方案二：使用防护脚本。（附代码）%Code by safe3On Error Resume Nextifrequest.querystringothencallstophacker(request.querystring,|*?|A+Zv(8|9)|b(and|or)b.+?(|=|binb|blikeb)|/*.+?*/|s*scriptb|bEXECb|UNION.+?SELECT|UPDATE.+?SET|INSERTs+

5、INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)if Request.ServerVariables(HTTP_REFERER)thencalltest(Request.ServerVariables(HTTP_REFERER),*/|s*scriptb|bEXECb|UNION.+?SELECT|UPDHlATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(

6、TABLE|DATABASE)ifrequest.Cookies thencallstophacker(request.Cookies,b(and|or)b.1,6?(bEXECb|UNION.+?SELECT|UPDATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROCREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)callstophacker(request.Form,A+/v(8|9)|b(and|or)b.1,6?(=|binb|blikeb)|A*.+?7|s*scriptb|s*imgb|

7、bEXECb|UNION.+?SELECT|UPDATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)function test(values,re) dim regex set regex=new regexp regex.ignorecase = true regex.global = true regex.pattern = re if regex.test(values) thenIP=Request.ServerVariables(HT

8、TP_X_FORWAR D_FOR) If IP =ThenIP=Request.ServerVariables(REMOTE_ADDR) end ifslog(操彳IP: &ip& 操作时间：” & now() & 操作页面：&Request.ServerVariables(URL)&!交方 式：&Request.ServerVariables(Request_Method)& 提交参数：&l_get&提交数据： &l_get2)Response.Write(您 的提交带有不合法参数，谢谢合作!) Response.endend ifset regex = nothing end funct

9、ionfunction stophacker(values,re)dim l_get, l_get2,n_get,regex,IPfor each n_get in valuesfor each l_get in valuesl_get2 = values(l_get) set regex = new regexp regex.ignorecase = true regex.global = true regex.pattern = reif regex.test(l_get2) thenIP=Request.ServerVariables(HTTP_X_FORWAR D_FOR)If IP

10、= ThenIP=Request.ServerVariables(REMOTE_ADDR) end ifslog(操彳IP: &ip& 操作时间：” & now() & 操作页面：&Request.ServerVariables(URL)&!交方 式：&Request.ServerVariables(Request_Method)&提交参数：&l_get&”提交数据: &l_get2)Response.Write(由您 的提交带有不合法参数，谢谢合 作!)Response.endend ifset regex = nothingnextnextend functionsub slog(logs

11、)dim toppath,fs,Tstoppath = Server.Mappath(/log.htm)Set fs =CreateObject(scripting.filesystemobject)If NotFs.FILEEXISTS(toppath) ThenSetTs = fs.createtextfile(toppath, True)Ts.closeSetend ifTs= Fs.OpenTextFile(toppath,8)Ts.writeline (logs)Ts.CloseSetTs=nothingSetfs=nothingend sub%漏洞类型：XSS夸站脚本攻击info.

12、nWPI.漏洞证据：alert(42873)影响贝闻:http:info.nWPH:80/servlet/Redirect?linkto=/structure/wqfw”-;alert(42873);”处理方案：方案一：站在安全的角度看，必须过滤用户输 入的危险数据，默认用户所有的输入数据都是 不安全的，根据自身网站程序做代码修改。方案二：使用防护脚本。输入资料过滤%Stringmessage=request.getParameter(message); message = message.replace (,); message = message.replace (,);message =

13、 message.replace (，,)；message = message.replace (/,);message = message.replace (%,);message = message.replace (;,);message = message.replace (,);message = message.replace (),);message = message.replace (&,);message = message.replace (+,_);out.print(message);%漏洞类型：SQL注入漏洞（盲注）漏洞证据：Injection Type: StringDatabase Type: Access影响贝闻: HYPERLINK /book/own_show_showim /book/own_show_showimg.asp?own_id=122处理方案：