对某网站安全检查的一点启示

一个关注了多年知名的投顾网站，05年由于对此服务器做过几次安全扫描，导致对方的管理员对我的IP做了deny，后来IP deny持续很久，不知道对方是否换了IT管理员还是其它原因，现在我的IP又被放开了。

 

周末在访问的时候顺便做了一下sql注入检查，发现存在注入漏洞，找到注入点后，cmdshell列出了相关的服务器本地信息。在上传asp木马时总是不能成功，服务器发现安装了mcafe、norton,不知道是否和此有关。

 

本地建好tftp服务器，在试图用tftp上传文件到问题服务器时发现win2003系统，没有tftp.exe文件。

发现此web目录下robots.txt，里面写着后台登录信息，有时为了寻求安全反而更不安全。同时服务器过多的暴露出一下信息，应该最信息进行修改掩蔽。

 

由于没有更多的目的，没有进行下一步的更深的渗透。

顺便试试暴库找到了表里的一些信息，发现了数千个用户注册信息，用户名、密码、电话、email地址等。

试着访问可以，再试一下用相同的密码登录他们的注册email大部分也可以。大部分人为了方便记忆，在使用密码是喜欢使用同一个密码，这也导致了城门失火殃及池鱼的状况。

下周发邮件提醒对方网站安全问题。