网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

作为公司的运维人员，特别是中大型企业，网站被攻击，网站打不开是一件再平常不过的事情了。今天我们就来说说黑客是如何入侵你的网站导致用户无法正常访问的。

由于关注我们的用户有一些是企业运维者，所以小编在后面再说下为什么企业网站需要做渗透测试。

目前的网站可分为三大块：个人运营、团队/公司运营、政府运营。

个人网站比例还是很大的，这种网站多数采用开源系统。

如博客类：Wordpress、Emlog、Typecho、Z-blog、More...，

社区类：Discuz、PHPwind、StartBBS、Mybb等等。

团队/公司网站使用常用的开源CMS比例也是非常大，政府类网站基本上外包开发较多。

当然互联网公司自家产品应用必然都是公司自主开发：淘宝？知乎？豆瓣？等等。

如果更广泛的话，可分为两大块：开源与闭源。

能够有效说明网站伪安全的就是从实战出发的角度去证明到底是不是真的固若金汤。

这里之所以讲到入侵方法不是为了教大家如何入侵网站，而是了解入侵的方法多种多样，知己知彼才能百战不殆。

菜刀能够用来切菜，同样也能够用来杀人。

下面我们就来说下黑客入侵网站的一些普通的流程。

黑客们入侵网站普遍的流程

1、信息收集

1.1/ Whois信息--注册人、电话、邮箱、DNS、地址

1.2/ Googlehack--敏感目录、敏感文件、更多信息收集

1.3/ 服务器IP--Nmap扫描、端口对应的服务、C段

1.4/ 旁注--Bing查询、脚本工具

1.5/ 如果遇到CDN--Cloudflare（绕过）、从子域入手（mail，postfix）、DNS传送域漏洞

1.6/ 服务器、组件（指纹）--操作系统、web server（apache，nginx，iis）、脚本语言

1.7/ More...

通过信息收集阶段，攻击者基本上已经能够获取到网站的绝大部分信息，当然信息收集作为网站入侵的第一步，决定着后续入侵的成功。

2、漏洞挖掘

2.1/ 探测Web应用指纹--Discuz、PHPwind、Dedecms、Ecshop...

2.2/ XSS、CSRF、XSIO、SQLinjection、权限绕过、任意文件读取、文件包含...

2.3/ 上传漏洞--截断、修改、解析漏洞

2.4/ 有无验证码--进行暴力破解

2.5/ More...

经过漫长的一天，攻击者手里已经掌握了你网站的大量信息以及不大不小的漏洞若干，下一步他们便会开始利用这些漏洞获取网站权限。

3、漏洞利用

3.1/ 思考目的性--达到什么样的效果

3.2/ 隐藏，破坏性--根据探测到的应用指纹寻找对应的EXP攻击载荷或者自己编写

3.3/ 开始漏洞攻击，获取相应权限，根据场景不同变化思路拿到webshell

4、权限提升

4.1/ 根据服务器类型选择不同的攻击载荷进行权限提升

4.2/ 无法进行权限提升，结合获取的资料开始密码猜解，回溯信息收集

5、植入后门

5.1/ 隐蔽性

5.2/ 定期查看并更新，保持周期性

6、日志清理

6.1/ 伪装性，隐蔽性，避免激警他们通常选择删除指定日志

6.2/ 根据时间段，find相应日志文件 太多太多。。。

说了那么多，这些步骤不知道你看懂了多少？其实大部分的脚本小黑显然不用这些繁琐的步骤，他们只喜欢快感！

通常他们会使用各种漏洞利用工具或者弱口令（admin,admin888)进行攻击。

当然，这种“黑客”仅仅是出于“快感”而去想入侵你的网站，如果是别有它意的人，麻烦就来了。

说完入侵的流程，我们来说下为什么企业网站需要做渗透测试。

第一：网络安全法规定

2017年6月1日正式实施的网络安全法中明确要求：第三十三条，至第三十八条针对关键信息基础设施运营者所做的规定（如关键信息基础设施运营商应当自行或委托网络安全服务机构对其网络安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门），具有相当的强制性——在法律责任部分明确提到若不履行这些规定，则由有关主管部门责令整改、给予警告；

拒不改正或导致危害网络安全等后果的，处十万元以上一百万元以下罚款，而且还对直接负责的主管人员除以一万元以上、十万元以下罚款。

关于网络安全法的解读，可以点击【网络安全解读】进行查看

值得关注的是，在信息安全风险评估中，渗透测试是一种常用且非常重要的手段。

第二：渗透测试助力PCI DSS合规建设

在PCI DSS（Payment Card Industry Security Standards Council支付卡行业安全标准委员会）第 11.3中有这样的要求：至少每年或者在基础架构或应用程序有任何重大升级或修改后（例如操作系统升级、环境中添加子网络或环境中添加网络服务器）都需要执行内部和外部基于应用层和网络层的渗透测试。

第三：ISO27001认证的基线要求