掃描器可以被分為兩類。外網(wǎng)：一些暴露在互聯(lián)網(wǎng)上的資產(chǎn)，如開放了80端口或者443端口提供web服務(wù)。許多管理員認(rèn)為他們有一個邊界防火墻，所以他們是安全的，但其實并不一定。防火墻可以通過規(guī)則防止未經(jīng)授權(quán)的訪問網(wǎng)絡(luò)，但是如果攻擊者發(fā)現(xiàn)可以通過80端口或者443端口來攻擊其他系統(tǒng)，比如近很火的SSRF。在這種情況下防火墻可能無法保護(hù)你。
API讓天下沒有難做的生意，hack也是這么認(rèn)為的。在企業(yè)數(shù)字化轉(zhuǎn)型如火如荼的今天，API已經(jīng)遠(yuǎn)遠(yuǎn)超出了技術(shù)范疇，互聯(lián)網(wǎng)商業(yè)創(chuàng)新和傳統(tǒng)企業(yè)數(shù)字化轉(zhuǎn)型都離不開API經(jīng)濟(jì)或者API。API連接的不僅僅是系統(tǒng)和數(shù)據(jù)，還包括企業(yè)、客戶和合作伙伴，甚至整個商業(yè)生態(tài)。與此同時，日益嚴(yán)峻的安全威脅，使得API正在成為網(wǎng)絡(luò)安全的下一個*陣地。本文，我們整理了安全們給企業(yè)提出的API安全弱點和修補建議。

Nikto這是一個開源的Web服務(wù)器掃描程序，它可以對Web服務(wù)器的多種項目(包括3500個潛在的危險文件/CGI，以及超過900個服務(wù)器版本，還有250多個服務(wù)器上的版本特定問題)進(jìn)行全面的測試。其掃描項目和插件經(jīng)常更新并且可以自動更新(如果需要的話)。

網(wǎng)站安全是整個網(wǎng)站運營中重要的一部分，網(wǎng)站沒有了安全，那用戶的隱私如何**，在網(wǎng)站中進(jìn)行的任何交易，支付，用戶的注冊信息都就沒有了安全**，所以網(wǎng)站安全做好了，才能更好的去運營一個網(wǎng)站，我們SINE安全在對客戶進(jìn)行網(wǎng)站署與檢測的同時，發(fā)現(xiàn)網(wǎng)站的業(yè)務(wù)邏輯漏洞很多，尤其暴利解析漏洞。網(wǎng)站安全里的用戶密碼暴利解析，是目前業(yè)務(wù)邏輯漏洞里出現(xiàn)比較多的一個網(wǎng)站漏洞，其實強制解析簡單來說就是利用用戶的弱口令，比如123456，111111，22222，admin等比較常用的密碼，來進(jìn)行猜測并嘗試登陸網(wǎng)站進(jìn)行用戶密碼登陸，這種攻擊方式
如果網(wǎng)站在設(shè)計當(dāng)中沒有設(shè)計好的話，后期會給網(wǎng)站服務(wù)器后端帶來很大的壓力，可以給網(wǎng)站造成打不開，以及服務(wù)器癱瘓等影響，甚至有些強制解析會利用工具，進(jìn)行自動化的模擬攻擊，線程可以開到100-1000瞬時間就可以把服務(wù)器的CPU搞爆，大大的縮短了強制解析的時間甚至有時幾分鐘就可以解析用戶的密碼。在我們SINE安全對客戶網(wǎng)站漏洞檢測的同時，我們都會去從用戶的登錄，密碼找回，用戶注冊，二級密碼等等業(yè)務(wù)功能上去進(jìn)行安全檢測，通過我們十多年來的安全檢測經(jīng)驗，我們來簡單的介紹一下。
首先我們來看下，強制解析的模式，分身份驗證碼模塊暴利解析，以及無任何防護(hù)，IP鎖定機制，不間斷撞庫，驗證碼又分圖片驗證碼，短信驗證碼，驗證碼的安全繞過，手機短信驗證碼的爆密與繞過等等幾大方面。無任何防護(hù)的就是網(wǎng)站用戶在登錄的時候并沒有限制用戶錯誤登錄的次數(shù)，以及用戶注冊的次數(shù)，重置密碼的吃書，沒有用戶登錄驗證碼，用戶密碼沒有MD5加密，這樣就是無任何的安全防護(hù)，導(dǎo)致攻擊者可以趁虛而入，強制解析一個網(wǎng)站的用戶密碼變的十分簡單。
IP鎖定機制就是一些網(wǎng)站會采用一些安全防護(hù)措施，當(dāng)用戶登錄網(wǎng)站的時候，登錄錯誤次數(shù)超過3次，或者10次，會將該用戶賬號鎖定并鎖定該登錄賬戶的IP，IP鎖定后，該攻擊者將無法登錄網(wǎng)站。驗證碼解析與繞過，在整個網(wǎng)站安全檢測當(dāng)中很重要，一般驗證碼分為手機短信驗證碼，微信驗證碼，圖片驗證碼，網(wǎng)站在設(shè)計過程中就使用了驗證碼安全機制，但是還是會繞過以及暴利解析，有些攻擊軟件會自動的識別驗證碼，目前有些驗證碼就會使用一些拼圖，以及字體，甚至有些驗證碼輸入一次就可以多次使用，驗證碼在效驗的時候并沒有與數(shù)據(jù)庫對比，導(dǎo)致被繞過。
關(guān)于網(wǎng)站出現(xiàn)邏輯漏洞該如何修復(fù)漏洞呢？首先要設(shè)計好IP鎖定的安全機制，當(dāng)攻擊者在嘗試登陸網(wǎng)站用戶的時候，可以設(shè)定一分鐘登陸多少次，登陸多了就鎖定該IP，再一個賬戶如果嘗試一些操作，比如找回密碼，找回次數(shù)過多，也會封掉該IP。驗證碼識別防護(hù)，增加一些語音驗證碼，字體驗證碼，拼圖下拉驗證碼，需要人手動操作的驗證碼，短信驗證碼一分鐘只能獲取一次驗證碼。驗證碼的生效時間安全限制，無論驗證碼是否正確都要一分鐘后就過期，不能再用。所有的用戶登錄以及注冊，都要與后端服務(wù)器進(jìn)行交互，包括數(shù)據(jù)庫服務(wù)器。

Burpsuite這是一個可以用于攻擊Web應(yīng)用程序的集成平臺。Burp套件允許一個攻擊者將人工的和自動的技術(shù)結(jié)合起來，以列舉、分析、攻擊Web應(yīng)用程序，或利用這些程序的漏洞。各種各樣的burp工具協(xié)同工作，共享信息，并允許將一種工具發(fā)現(xiàn)的漏洞形成另外一種工具的基礎(chǔ)。
SINESAFE是一款集服務(wù)器漏洞掃描、網(wǎng)站漏洞掃描、APP風(fēng)險評估為一體的綜合性漏漏洞掃描云平臺,先于攻擊者發(fā)現(xiàn)漏洞,由被動變主動,云鑒漏掃,漏洞無處可藏。
http://www.xh798.com