SINE安全對網(wǎng)站漏洞檢測具有的安全技術(shù)人員，而且完全不依靠軟件去掃描，所有漏洞檢測服務(wù)都是由我們?nèi)斯とz測，比如對代碼進行審計，以及都每個網(wǎng)站或APP的功能進行單的詳細測試，如跨權(quán)限漏洞，支付漏洞繞過，訂單價格被篡改，或訂單支付狀態(tài)之類的，或會員找回密碼這里被強制找回等，還有一些邏輯漏洞，上傳漏洞，垂直權(quán)限漏洞等等。
中小企業(yè)，為什么受傷的總是我？
然而，雖然云存在有這樣那樣的問題，但企業(yè)上云已經(jīng)成為眾多企業(yè)用戶的共識，也是未來發(fā)展的必然趨勢，越來越多的行業(yè)客戶也已經(jīng)開始從傳統(tǒng) IDC 遷移上云。雖然目前絕大部分客戶都是將自有企業(yè)及業(yè)務(wù)系統(tǒng)等較輕量的架構(gòu)上云，但從 CSDN 新出爐的《2017 中國軟件開發(fā)者》中，安全仍然是大多數(shù)企業(yè)在上云時面臨的頭號問題。

當攻擊者通過API調(diào)用遍歷攻擊系統(tǒng)時，他們必須弄清楚可以發(fā)送些什么來獲取數(shù)據(jù)。攻擊者“信奉”這樣的一個事實：即越復(fù)雜的系統(tǒng)，出錯的地方越多。攻擊者識別出API后，他們將對參數(shù)進行分類，然后嘗試訪問管理員（垂直特權(quán)升級）或另一個用戶（水平特權(quán)升級）的數(shù)據(jù)以收集其他數(shù)據(jù)。通常，太多不必要的參數(shù)被暴露給了用戶。
在近的研究項目中，我們對目標服務(wù)的API調(diào)用返回了大量數(shù)據(jù)，很多都是不必要的數(shù)據(jù)信息，例如付款網(wǎng)關(guān)的處理器密鑰和可用的折扣信息等。這些“獎勵信息”使攻擊者可以更好地理解這些API調(diào)用的上下文和語法。攻擊者不需要太多的想象力就能弄清楚下一步該怎么做。這些額外的參數(shù)為攻擊者提供了豐富的攻擊數(shù)據(jù)集。解決方法：如果將用戶看到的內(nèi)容范圍限制為必需內(nèi)容，限制關(guān)鍵數(shù)據(jù)的傳輸，并使數(shù)據(jù)查詢結(jié)構(gòu)未知，那么攻擊者就很難對他們知道的參數(shù)進行爆密。

早上，我突然被客戶告知，他部署在云平臺的服務(wù)器被檢測到webshell，已經(jīng)查殺了，而且云平臺檢測到這個ip是屬于我公司的，以為是我們公司做了測試導(dǎo)致的，問我這個怎么上傳的webshell，我當時也是一臉懵逼，我記得很清楚這是我的項目，是我親自測試的，上傳點不會有遺漏的，然后開始了我的排查隱患工作。
巡檢查殺首先，我明白自己要做的不是找到這個上傳的位置是哪里出現(xiàn)的，我應(yīng)該登上服務(wù)器進行webshel查殺，進行巡檢，找找看是否被別人入侵了，是否存在后門等等情況。雖然報的是我們公司的ip，萬一漏掉了幾個webshell，被別人上傳成功了沒檢測出來，那服務(wù)器被入侵了如何能行。所以我上去巡檢了服務(wù)器，上傳這個webshell查殺工具進行查殺，使用netstat-anpt和iptables-L判斷是否存在后門建立，查看是否有程序占用CPU，等等，此處不詳細展開了。萬幸的是服務(wù)器沒有被入侵，然后我開始著手思考這個上傳點是怎么回事。
文檔上傳漏洞回顧首先，我向這個和我對接的研發(fā)人員咨詢這個服務(wù)器對外開放的，要了之后打開發(fā)現(xiàn)，眼熟的不就是前不久自己測試的嗎？此時，我感覺有點懵逼，和開發(fā)人員對質(zhì)起這個整改信息，上次測試完發(fā)現(xiàn)這個上傳的地方是使用了白名單限制，只允許上傳jpeg、png等圖片格式了。當時我還發(fā)現(xiàn)，這個雖然上傳是做了白名單限制，也對上傳的文檔名做了隨機數(shù)，還匹配了時間規(guī)則，但是我還是在返回包發(fā)現(xiàn)了這個上傳路徑和文檔名，這個和他提議要進行整改，不然這個會造成這個文檔包含漏洞，他和我反饋這個確實進行整改了，沒有返回這個路徑了。

以盜幣為主要目的的攻擊并非個例，隨著以為代表的數(shù)字的盛行，世界各地的交易中心成為了攻擊的一個新目標，頻頻爆出遭遇的攻擊，用戶賬戶被盜、用戶數(shù)據(jù)泄露、損失慘重等事件。
SINE安全網(wǎng)站漏洞檢測時必須要人工去審計漏洞和查找漏洞找出問題所在并修復(fù)漏洞，對各項功能都進行了全面的安全檢測。
http://m.daweidiaosu.cn