網(wǎng)站防御不佳還有另一個(gè)原因，有很多網(wǎng)站管理員對(duì)網(wǎng)站的價(jià)值認(rèn)識(shí)僅僅是一臺(tái)服務(wù)器或者是網(wǎng)站的建設(shè)成本，為了這個(gè)服務(wù)器而增加超出其成本的安全防護(hù)措施認(rèn)為得不償失。而實(shí)際網(wǎng)站遭受攻擊之后，帶來(lái)的間接損失往往不能用一個(gè)服務(wù)器或者是網(wǎng)站建設(shè)成本來(lái)衡量，很多信息資產(chǎn)在遭受攻擊之后造成無(wú)形價(jià)值的流失。不幸的是，很多網(wǎng)站負(fù)責(zé)的單位、人員，只有在網(wǎng)站遭受攻擊后，造成的損失遠(yuǎn)超過(guò)網(wǎng)站本身造價(jià)之后才意識(shí)就這一點(diǎn)。
安全現(xiàn)狀和常見(jiàn)威脅分析
1998年，我國(guó)建立了個(gè)——青島政務(wù)信息公眾網(wǎng)。1999年，40多家部委發(fā)起“上網(wǎng)工程”。2007年1月17日，第165次會(huì)議通過(guò)的第492號(hào)令《*共和國(guó)信息公開(kāi)條例》中第十五條規(guī)定：行政機(jī)關(guān)應(yīng)當(dāng)將主動(dòng)公開(kāi)的信息，通過(guò)公報(bào)、、新聞發(fā)布會(huì)以及報(bào)刊、廣播、電視等便于公眾知曉的方式公開(kāi)。
各級(jí)逐漸重視信息化建設(shè)，許多機(jī)構(gòu)都建立了自己的。然而目前還缺乏足夠的重視和維護(hù)，已成為網(wǎng)絡(luò)安全中薄弱的一環(huán)。從域名類(lèi)型來(lái)看，我國(guó)境內(nèi)被篡改中，類(lèi)（.gov）占11.3%，教育類(lèi)（.edu）占30.8%，其他占1.9%。被掛馬的（.gov.cn域名）數(shù)量為23618個(gè)，占全部掛馬總數(shù)的9.69%。監(jiān)測(cè)到40186個(gè)被植入后門(mén)，其中有1529個(gè)。共收集整理2394個(gè)高危漏洞，Web應(yīng)用漏洞占16.1%。

接下來(lái)，我們來(lái)到了用戶登錄模塊，因?yàn)槿绻贿M(jìn)行用戶登錄的話，我們擁有的操作空間和權(quán)限是非常小的，而且登錄頁(yè)面，也是漏洞多發(fā)的頁(yè)面，比如弱口令啊、短信轟炸啊、驗(yàn)證碼可繞過(guò)啊等等，可惜的是在這里，我只驗(yàn)證成功了弱口令漏洞，具體操作如下：首先，我們來(lái)觀察此網(wǎng)站的用戶名，巧的是我們發(fā)現(xiàn)這個(gè)網(wǎng)站的用戶名具有一致性，那么我們可以進(jìn)行什么操作呢，沒(méi)錯(cuò)，在此處我們可以利用工具burpsuite進(jìn)行爆密，我們可以枚舉網(wǎng)站有注冊(cè)的用戶，這其實(shí)也是一個(gè)用戶名枚舉漏洞。

一個(gè)的托管公司負(fù)責(zé)定期維護(hù)，重要的是他們所提供的安全**，保證您能夠?yàn)樵L客提供的用戶體驗(yàn)。

本文是作者入門(mén)web安全后的完整的授權(quán)滲透測(cè)試實(shí)戰(zhàn)，因?yàn)榻诳偨Y(jié)自己學(xué)習(xí)與挖掘到的漏洞，無(wú)意中翻到了這篇滲透測(cè)試報(bào)告，想當(dāng)初我的這篇滲透測(cè)試報(bào)告是被評(píng)為滲透測(cè)試報(bào)告的，故在此重新整了一下，分享一下自己的思路與操作給大家。總的來(lái)說(shuō)，就是一些web安全常見(jiàn)漏洞的挖掘，還有就是邏輯漏洞里自己發(fā)現(xiàn)的一些操作。如有不正確之處，敬請(qǐng)大家斧正。
網(wǎng)站安全維護(hù)還是找SINESAFE比較靠譜，價(jià)格實(shí)惠，簽訂合同，承諾解決不掉，對(duì)于網(wǎng)站被攻擊，網(wǎng)站被入侵等問(wèn)題有著十一年的實(shí)戰(zhàn)維護(hù)經(jīng)驗(yàn)。
http://www.66bta.com