发信人: min3()
整理人: starseacn(2002-03-05 08:50:59), 站内信件
|
本文目的是结合我个人的一些经验和感想，指出目前网上的一些安全问题。如有什么看法，请共同探讨。
目前国内的很多网站的安全都很差，有各种各样的问题，但大家注意的大都是服务器系统软件的漏洞方面的安全,花很大力量和资金在服务器软件，防火墙等上面。今天我想指出的却是另外两类的安全问题，这两类安全问题目前注意的人还比较少，很多网站也没有重视，但是这两类问题产生的后果又是却很严重。
1)网站应用程序问题。
目前国内很多网站都开发了各种各样的应用，于是由于开发网站的程序员的粗心或没有经验造成就造成了这种问题。举个例子，我在网易上看到一篇文章，说新浪网有大漏洞，具体是这样的,有位兄弟发现新浪贺卡站的CGI程序中有个参数(Image)是文件名,他就试着把参数改为如下的形式:"http://ecards.sina.com.cn/cgi-bin/card/preview.cgi?title=恭贺新春&name=航行&image=../../../../../../../../../etc/passwd&template=1&ztcolor=000000&top=47",结果passwd的内容就出来了,呵呵，多么大的一个漏洞啊,对于这样的漏洞,防火墙什么的根本不起作用--〉当然现在新浪已经把这个漏洞改掉，你现在只能看到"非法操作"这几个字。但是这足以证明程序员，特别是网站的程序员，应该特别的注意安全性的问题。其实这样的问题有很多很多，我再举个例子，还是拿新浪的贺卡站来作说明，当你选中新浪站(http://ecards.sina.com.cn)的某一张贺卡时,点击它,然后会出现一个页面让你输入新浪会员号和密码,你在会员号里输入"1' or '1'='1"，密码输入"1",你就可以登入进去发送贺卡了，呵呵，这个你可以试试，因为我没有把它告诉新浪，当然你还可以用这种方法进新浪的BBS发发言。在这个例子中，最关键的是'1'='1这个永远为真的条件输入，懂SQL语句的兄弟都知道象这样一条语句("select username from userdb where username = '1' or '1'='1' and password ='1')意味着什么,呵呵。所以举一反三，其实这个例子中还可以在用户栏输入a' or 'hell'='hell密码栏随便输入什么，都可以成功，有的网站如果你用户栏输入1' or '1'='1不行的话试试换过来，即密码栏输入1' or '1'='1,总之构建一个永远为真的sql条件。这个漏洞也是由程序员没有安全方面的意识或经验造成的。
2)工作站共享问题
大家很多人可能还记得去年网上流传很火的关于上海交大招生的问题。这就是由于个人工作站随意设置共享文件夹造成的。而我也有这样的切身体会，我曾经发现过很多这样的文件夹，没有密码，任何人都可以联接上去。比如我曾经发现过山东一个电信网站，他们对服务器保护的很好，但是他们有一个工作站就这样赤裸裸的暴露在Internet上，也许因为工作站的主人认为他的机器没有安装服务器软件(比如WEB或FTP),没有人会访问他的机器，确实现在的Internet主要访问是通过浏览器访问WEB服务器的方式进行的，但并不是说别人就不可以通过其他的手段来访问你的机器-->比如共享文件夹.共享文件夹主要目的是为了在局域网中共享文件而设的，但是其实通过广域网也可以访问，因为他也是基于TCP/IP的。这样用几条简单的DOS命令,net view,net use,就可以连到他的共享文件夹了。那次我发现那个共享文件夹中有他们网站的ASP程序的源码,源码中有他们的SQL SERVER的用户名合口令。我没有动他们，因为不想惹麻烦:)，也没告诉他们，因为这样的人太多:),特别是一些大学。如果有别有用心的人知道这个共享文件夹的话，他可以把共享文件夹中的内容全部删掉，也可以把木马放上去。而且因为微软的原因，其实这种没有加密码的共享文件夹机器的用户基本上是缺省的Administrator,那么其实你可以控制整台工作站,通过缺省共享c$,d$等,就可以访问c盘,d盘了.
总结:
安全的重点不仅仅是服务器升级(打补丁),防火墙多封几个端口就可以解决的，也应该重视由内部的人(员工),无意或没有经验造成的问题。对于第一个问题，我想更多的应该是我们程序员应该考虑的，而第二个问题我想更应该从员工的安全意识做起。针对第二个问题，我写了一个免费软件来扫描共享文件夹，以供大家参考使用。可以在我的网站http://cn.geocities.com/mikee_cao/ 下载。
Mike Cao 2002.01.28
----
我并不孤独,
因为我与孤独为伴.
|
|