固若金汤 网站后台不容忽视的几个安全问题
作者：偶是菜鸟 来源：CHINAZ 发布时间：2009-01-30 02:25:00
1、后台用户名和密码是否是明文保存的？
建议增加昵称字段，区别后台的用户，同时对用户名和密码进行非规范的md5加密，例如加密以后截取15位字串。
2、管理成员是否有权限的划分
一旦没有划分权限，一个编辑用户的帐户失窃也可能为你带来灾难性的后果
3、是否有管理日志功能
管理日志必须在近几日无法被删除，这是分析入侵者入侵手法的重要依据。
4、后台入口是否隐秘
不要愚蠢地将入口暴露在前台页面中，也不要使用容易被猜测到的后台入口地址。
5、后台页面是否使用了meta robots协议限制搜索引擎抓取
google工具条，百度工具条，或者不经意间出现的后台链接都可能导致你的后台页面被搜索引擎发现，这时候在meta中写入禁止抓取的语句是个明智的选择，但是，切莫将后台地址写入robots.txt，参照第四点。
6、管理页面是否做了防注入
粗心的程序员往往只考虑了前台页面的注入。
7、access是否有自定义数据库备份功能
这是asp+access系统中最臭名昭著的功能，自定义数据库备份可以让入侵者轻松获得webshell
8、是否有自定义sql语句执行功能
同第7点。
9、是否开启了在线修改模板功能
如果没有必要，建议不要开启，防止对方轻易插入跨站脚本。
10、是否直接显示用户提交的数据
任何时候，用户的输入都是不可信的，设想如果对方输入了一段恶意js，而你在后台没有任何防护的情况下就打开？
11、编辑器的漏洞是否清除，是否已经去除了无意义的功能
最有名的例子就是ewebeditor的数据库漏洞，默认用户名密码漏洞等
对于网站后台的安全问题，任何一个环节的疏忽都可能导致灾难性的后果，大家须时时注意。
（作者：偶是菜鸟 来源：www.920574.cn ）
0
投稿猜你喜欢
- 我先说下我的最初建设方法：华恒教育—一级栏目，华恒简介、高中留学等导航的设置都是二级栏目。(其实这种办法我走了不少弯路)我这样的办法是对每个
- 1.为自己的主题创建方便定制的选项面板如果你有留意收费主题的发展趋势，你会发现带有一个方便用户个性化的选项面板已经是收费主题的标配。其实为主
- WordPress系统本身，默认安装的情况下使用默认模板，实际上对搜索引擎并不友好，并没有针对搜索引擎进行很好的设计，下面我介绍一些方法可以
VMware Workstation 14 Pro安装CentOS 7.0的具体方法，供大家参考，具体内容如下参考1：VMware Work- 说明：VMware IOInsight是帮助了解VM的存储I/O行为的工具。通过了解虚拟机的I/O特性，可以在存储容量规划和性能调整方面做出
- 2020年4月23日，今天Windows 上的 Ubuntu 20.04 允许使用 Ubuntu Terminal 并运行 Ubuntu 命
- ##域名与网关项(Domain/Gateway).. Domain Name：为局域网的域名，在此为Company.mail，若无独立域名可
- PHPCMS V9的评论在用户体验方面，并不让人多么满意，更多的用户希望能够有用户体验更好的Ajax版本的评论出现，但一直也未见PHPCMS
- 最近买了sshVM的一款每个月2$的VPS，首先想要尝试的当然是VPN啦。安装成功后，觉得自己的VPN就是不一样，比其他地方的都要快，看Yo
- 这些天，中国版的谷歌图片搜索进行了重大的改版，最终图片的显示页面抛弃了原有的框架设计界面，而采用类似百度图片搜索的直接显示图片的界面。与百度
- 1.首先将你的网站提交到dmoz.org 目录下。它可能需要一段时间,如果被收录它至少会将你的网站PR值和反向链接提高一半。2. 经常到一些
- 11月13日消息 今天下午，央视网宣布宣布其集合了“UGC（用户产生内容）+SNS”功能的&
- 使用多个web服务器实现负载均衡，为了保持前端web服务器上资源的一致性可以通过rsync在主服务器上(可写入数据)将更新过的文件同步到其他
- 前几天写了几篇关于做网站的软文，为了方便和大家交流，特意留下了自己的联系方式。这几天一上线就有不少朋友加我的qq，不少加我的朋友都是刚接网站
- 大家可以看首页下面的图文混排栏目块，全部是用的固定栏目，也就是先做出模板，每个栏目都是固定的，无法循环生成.这样就有个问题，标签是不是要一个
- 一位站长朋友，他问我这样的问题，购买的Godaddy主机IP被封，他通过切换操作系统进行更换IP，换好新的IP后，发现域名不能访问，打不开页
- 依然是挂马问题，已经是第三次变种啦！可恶！今天听报道说黑客入侵红十字会官网，修改了募捐帐号 ，这种人简直禽兽不如—— * 。希望每个中国人
- 搜索引擎对Flash的检索技术还没足够成熟的时候，我们应该力求简化Flash页面，页面不能太大，否则加载速度慢影响搜索引擎收录，同时建立单独
- 开春了，我跟MM说我得上我空间发表感慨了，今天突然发现树开始冒芽了，也开始下起小小的春雨了，我发现我自己也快发霉了，找个好天气晒晒，最后的工
- 1.SMTP是工作在两种情况下：一是电子邮件从客户机传输到服务器；二是从某一个服务器传输到另一个服务器2.SMTP是个请求/响应协议，命令和
