企業(yè)應(yīng)該將賦能服務(wù)貫穿需求分析、架構(gòu)設(shè)計(jì)、研發(fā)、測(cè)試回歸以及發(fā)布迭代全流程，通過賦能將專業(yè)安全能力賦予研發(fā)各環(huán)節(jié)人員，并在各環(huán)節(jié)提供不同工具(STAC、SAST、IAST、常態(tài)化安全運(yùn)營(yíng))使賦能知識(shí)真實(shí)應(yīng)用落地，*終以統(tǒng)一平臺(tái)展示、分析、回歸、閉環(huán)安全問題，并向***提供 SIEM，根據(jù)各流程頻現(xiàn)的漏洞類型、研發(fā)人員知識(shí)盲區(qū)等再次提供針對(duì)性培訓(xùn)，*終針對(duì)性制定規(guī)章制度，實(shí)現(xiàn)制度精準(zhǔn)逆推落地。
程序源代碼安全審計(jì)
網(wǎng)站漏洞修復(fù)，網(wǎng)站程序代碼的安全審計(jì)，包括PHP、ASP、JSP、.NET等程序代碼的安全審計(jì)，上傳漏洞，SQL注入漏洞，身份驗(yàn)證漏洞，XSS跨站漏洞，命令執(zhí)行漏洞，文件包含漏洞，權(quán)限提升漏洞等的安全審計(jì)，網(wǎng)站防篡改方案，后臺(tái)登錄二次安全驗(yàn)證部署，百度風(fēng)險(xiǎn)攔截提示的解除，**等惡意內(nèi)容百度快照清理，以及網(wǎng)站后門木馬和程序惡意掛馬代碼的檢測(cè)和清除，網(wǎng)站源代碼及數(shù)據(jù)庫(kù)的加密和防止泄露。
網(wǎng)站木馬清理
**入侵網(wǎng)站，拿到權(quán)限后會(huì)進(jìn)一步的上傳木馬，然后通過木馬后門提權(quán)拿到服務(wù)器的管理員權(quán)限，這種木馬叫做網(wǎng)站木馬，也叫Webshell。Sinesafe根據(jù)Webshell的特征和加密算法進(jìn)行深度的挖掘和定位檢測(cè)，包括黑鏈木馬，數(shù)據(jù)庫(kù)木馬，一句話木馬，免殺加密木馬，快照篡改木馬，網(wǎng)站劫持木馬。ASP,ASPX,PHP,JSP木馬后門等都能進(jìn)行全面的查殺，對(duì)于網(wǎng)站的掛馬代碼達(dá)到徹底清除，來**網(wǎng)站的安全穩(wěn)定。

軟件測(cè)試階段：交互式安全測(cè)試 (IAST)，IAST 通過代理、*** 或者服務(wù)端 Agent 方式無感知獲取功能測(cè)試人員測(cè)試交互流量，基于模糊測(cè)試 (fuzz) 思想對(duì)流量進(jìn)行攻擊代碼隨機(jī)插入和攻擊流量構(gòu)建，并自動(dòng)化對(duì)被測(cè)程序進(jìn)行安全測(cè)試，同時(shí)可準(zhǔn)確確定漏洞所在的代碼文件、行數(shù)、函數(shù)及參數(shù)。
上線迭代階段：常態(tài)化安全運(yùn)營(yíng)，對(duì)項(xiàng)目上線后所在的服務(wù)器資產(chǎn)、中間件以及項(xiàng)目本身進(jìn)行 7*24 小時(shí)周期性安全檢查，相當(dāng)于有一個(gè)安全團(tuán)隊(duì)或滲透測(cè)試工程師全天候管理線上資產(chǎn)、站點(diǎn)以及中間依賴的安全問題，有效確保安全健壯性。
*近我們SINE安全在對(duì)帝國(guó)CMS系統(tǒng)進(jìn)行代碼安全審計(jì)的時(shí)候，發(fā)現(xiàn)該系統(tǒng)存在網(wǎng)站漏洞，受影響的版本是EmpireCMS V7.5，從帝國(guó)**網(wǎng)站下載到本地，我們?nèi)斯?duì)其代碼進(jìn)行詳細(xì)的漏洞檢測(cè)與安全代碼分析。共計(jì)發(fā)現(xiàn)三個(gè)高危漏洞，都是在網(wǎng)站的后臺(tái)管理頁面上的功能發(fā)現(xiàn)的。該漏洞的產(chǎn)生，*根源的問題是沒有對(duì)get,post提交方式進(jìn)行嚴(yán)格的安全效驗(yàn)與過濾，導(dǎo)致可以插入惡意代碼到后端服務(wù)器中去處理，導(dǎo)致漏洞的發(fā)生。帝國(guó)CMS系統(tǒng)，簡(jiǎn)單給大家介紹一下，目前很多站長(zhǎng)，以及企業(yè)建站，都在使用該套系統(tǒng)，快速，便捷，易于搜索引擎收錄，采用的是B/S架構(gòu)開發(fā)，php語言+Mysql數(shù)據(jù)庫(kù)，支持大并發(fā)同時(shí)訪問，可以承載較多的用戶快速的訪問網(wǎng)站的各個(gè)頁面與內(nèi)容，模板自定義化，可以設(shè)置標(biāo)簽與自行設(shè)計(jì)網(wǎng)站外觀，靜態(tài)html生成，還有采集功能，深受廣大站長(zhǎng)和網(wǎng)站運(yùn)營(yíng)者的喜歡。我們SINE安全技術(shù)在對(duì)該代碼進(jìn)行安全檢測(cè)與滲透測(cè)試的手，會(huì)先大體看下代碼，熟悉整個(gè)網(wǎng)站的架構(gòu)，數(shù)據(jù)庫(kù)配置文件，以及入口調(diào)用到的文件，通常調(diào)用到的安全規(guī)則是如何寫的，多個(gè)方面去大體的了解該代碼，目前滲透測(cè)試中，發(fā)現(xiàn)的網(wǎng)站漏洞有：SQL注入漏洞，網(wǎng)站敏感信息泄露，初始化安裝功能漏洞，直行平行越權(quán)邏輯漏洞，任意文件上傳漏洞，登錄繞過漏洞，短信驗(yàn)證碼漏洞，找回密碼漏洞，數(shù)據(jù)庫(kù)備份webshell，XSS跨站,CSRF漏洞等待。
首先我們檢測(cè)到的是帝國(guó)安裝代碼功能上存在可以插入惡意代碼漏洞，在install安裝目錄下的index.php文件中，可以查到表的前綴，也就是獲取前端提交過來的參數(shù)，然后繼續(xù)往下看，data目錄下的fun.php代碼里的參數(shù)并沒有做任何的安全效驗(yàn)，導(dǎo)致可以直接插入惡意代碼寫入到配置文件config.php中去。漏洞詳情如下圖：
后臺(tái)還存在get webshell漏洞，打開后臺(tái)管理功能頁面，選擇管理首頁模板，緊接著右鍵點(diǎn)擊增加首頁方案中，復(fù)制漏洞exp代碼： 解密base64后是：ZWNobyAnPD9waHAgZXZhbCgkX1JFUVVFU1RbaHBdKTsnPnNoZWxsLnBocA=>echo 'shell.php寫到模板內(nèi)容頁面里，左鍵點(diǎn)擊提交，再點(diǎn)擊啟用此方案，就在會(huì)e/admin/template/文件夾下生成一個(gè)shell.php文件。
關(guān)于帝國(guó)CMS漏洞的修復(fù)辦法，對(duì)所有的get,post請(qǐng)求做安全過濾，也可以直接在eaddslashes2的參數(shù)里增加惡意代碼的攔截機(jī)制，先檢測(cè)后放行，該漏洞的利用條件是需要有后臺(tái)管理員權(quán)限，利用的不是太多，建議對(duì)網(wǎng)站后臺(tái)的管理目錄進(jìn)行更改，或者直接將管理員的密碼設(shè)置的復(fù)雜一些。如果您對(duì)網(wǎng)站漏洞修復(fù)不是太懂的話，也可以找專業(yè)的網(wǎng)站安全公司來處理，國(guó)內(nèi)SINE安全，啟明星辰，綠盟，都是比較不錯(cuò)的，網(wǎng)站漏洞經(jīng)常出現(xiàn)，也請(qǐng)網(wǎng)站的運(yùn)營(yíng)者多多關(guān)注EmpireCMS的**，一有補(bǔ)丁就立即修復(fù)掉，將安全損失降到*低。
采取正確的措施保護(hù)設(shè)備，將保護(hù)基礎(chǔ)架構(gòu)的其他部分，其中包括下面這些經(jīng)常被忽視的常見防范措施：
修改默認(rèn)密碼和帳號(hào)名。
禁用不必要的服務(wù)和帳號(hào)。
保證按照制造商的要求更新底層操作系統(tǒng)和系統(tǒng)軟件。
由于攻擊也在進(jìn)化，所以要定期檢查滲透測(cè)試。要保持OpenVAS和Metasploit等工具的更新，而且它們可以使用的攻擊庫(kù)也在穩(wěn)步增長(zhǎng)。



http://mmsped.com