網(wǎng)站被黑明顯的特征就是從百度搜索你網(wǎng)站的關(guān)鍵詞點(diǎn)擊進(jìn)入會(huì)直接跳轉(zhuǎn)到其他網(wǎng)頁，百度收錄的域名快照會(huì)出現(xiàn)與當(dāng)前網(wǎng)站內(nèi)容標(biāo)題不相符的快照鏈接，然后通過ftp看看你的網(wǎng)站文件index.html或index.php的修改時(shí)間是不是近的時(shí)間，或?qū)Ρ认卤镜氐膫浞菸募纯创a有無出入，如果你對(duì)代碼不熟悉的話可以向網(wǎng)站漏洞修復(fù)公司尋求技術(shù)支持。
那這是個(gè)漏洞趨勢(shì)是這樣子的，既然漏洞越來越難了，那么我們是不是應(yīng)該比如說安全行業(yè)不好干了，然后我應(yīng)該轉(zhuǎn)職，這里肯定是不會(huì)的，大家要記住我們這邊有一個(gè)紅的一個(gè)名言，沒有就沒有的系統(tǒng)，這個(gè)可能大家沒有看過，我把它找一下，看一下我們的，沒有安全的系統(tǒng)，沒有哪個(gè)系統(tǒng)是安全的，所以實(shí)際上我們的趨勢(shì)應(yīng)該就能到那一個(gè)部分叫紅藍(lán)對(duì)抗，就是我攻擊者跟防護(hù)者兩個(gè)的互相對(duì)抗，這叫紅藍(lán)對(duì)抗。

就是兩邊的技術(shù)你要不斷的精進(jìn)，不斷的學(xué)新東西，你才能打得過別人，就大概要理解這一點(diǎn)。不是說我現(xiàn)在學(xué)了知道owsp 0就行了，而且這邊要大家想一下，就是你說我作為一個(gè)普通人，我也不搞破壞，然后我也不會(huì)去搞一些危害人的事情，那我為什么還要挖漏洞，這邊先大家要一個(gè)點(diǎn)，就是我為什么要挖漏洞，你肯定要清楚這個(gè)緣由，這里跟大家要介紹一個(gè)叫安全應(yīng)急響應(yīng)中心的東西，就是我挖漏洞，就是因?yàn)橛羞@個(gè)安全應(yīng)急響應(yīng)中心，可以提交漏洞獲取報(bào)酬。

先我們檢測(cè)到的是帝國安裝代碼功能上存在可以插入惡意代碼漏洞，在install安裝目錄下的index.php文件中，可以查到表的前綴，也就是獲取前端提交過來的參數(shù)，然后繼續(xù)往下看，data目錄下的fun.php代碼里的參數(shù)并沒有做任何的安全效驗(yàn)，導(dǎo)致可以直接插入惡意代碼寫入到配置文件config.php中去。漏洞詳情如下圖：

這個(gè)的手法就是利用騰訊云的關(guān)鍵詞去正常劫持收錄，然后實(shí)際獲取的是手機(jī)訪問者的流量轉(zhuǎn)換，真是道高一尺魔高一丈，知道了原理后，就仔細(xì)對(duì)網(wǎng)站的服務(wù)器進(jìn)行了排查和分析，發(fā)現(xiàn)服務(wù)器被增加了管理員賬戶，而且網(wǎng)站代碼我讓技術(shù)仔細(xì)看了沒發(fā)現(xiàn)可疑的文件和代碼，這說明服務(wù)器被入侵了，但具體的劫持木馬沒有找到，技術(shù)建議找網(wǎng)站安全公司來處理，畢竟術(shù)業(yè)有專攻，找了SINE安全后，分析定位到了DLL里入了劫持木馬，所以才導(dǎo)致我和技術(shù)都沒有找到問題的根源。
我們SINE安全技術(shù)在對(duì)代碼的比對(duì)中看出,對(duì)cookies的解密并解析操作進(jìn)行了判斷,多寫了static::serialized() 值,同樣的在X-XSRF-TOKEN里也加入了這個(gè)值.如果您對(duì)代碼不是太懂的話,也可以找的網(wǎng)站安全公司來進(jìn)行修復(fù),國內(nèi)SINESAFE,綠盟,啟明星辰,都是比較不錯(cuò)的,針對(duì)于Laravel的網(wǎng)站漏洞檢測(cè)與測(cè)試就到此,也希望通過這次的分享,讓更多的人了解網(wǎng)站漏洞,漏洞的產(chǎn)生原因,以及該如何修復(fù)漏洞,網(wǎng)站安全了,我們才能放開手腳去開拓市 場(chǎng),做好營銷。
http://mmsped.com