Web服务器在外网能裸奔多久?

转载 2016年05月31日 09:27:59

很多时候我们轻易地把Web服务器暴露在公网上,查看一下访问日志,可以看到会收到大量的攻击请求,这个是网站开通后几个小时收到的请求:

1.  探测服务器信息

在上线一分钟,收到OPTION请求探测。

现在他已经知道我用的是Apache, 操作系统是CentOS,可以开展针对性的进攻了。

Tips:您问怎么把Apache信息藏起来?有书啊

2. 命令执行攻击

上线半小时,收到大量利用WEB服务器命令执行漏洞的攻击。

如果您的服务器使用的是ASP或者Structs2并且开启了调试模式(大部分服务上线都先开着), 恭喜您,您在网络中安全生存的时间是半小时,服务器已被接管。

3. 配置漏洞-爬代码

很多项目使用svn管理代码,用ant或者mvn打包(好像基本上都是),如果没有正确配置打包脚本,.svn目录会打进war包,里面包含了您的所有源码。

有人会说,我不是设置了 robots.txt告诉他不要爬我的代码吗?

唉,这是一份绅士协议,百度、Google这类搜索引擎一看里面内容说不要爬我的内容,就礼貌地走了。

其他的则可能会理解为:有料

必须关闭默认的列目录权限,否则您的所有代码在网站开启4小时之内,已经被复制了。

4. 针对性漏洞攻击

来了,敌人已经知道您使用的是Apache, 直接利用apache漏洞进攻。

如果您使用的是Apache默认安装,并且没有打安全补丁,生命到此结束,估计80%的人都已经倒下了,已经活了8个小时,够了。

5. 攻击配置漏洞

通常我们在安装的时候会有安装程序、数据库工具等,例如使用MySQL的很多人会安装phpMyAdmin, 但是安装完之后几乎没有人去删除setup.php文件。

有些比较有安全意识的开发者在使用完关键信息后,会把文件删除,例如数据库安装脚本。但是会忘记当时有修改,自动产生了一个.bak文件。

很多时候你还没有向领导汇报系统安装完成,敌人已经用您数据库中的初始密码使用系统了。

还有,领导要求加强安全意识,必须要强密码,但是密码太多好难记啊,找个文件存起来不要忘记。

真实发生过的事情

还有一个场景,使用JAVA的 - 系统刚上线,要监控啊,开启Jconsole,甚至开启Web控制台是必须的(很多时候用Tomcat的,默认的Console都在),于是:


您方便,大家都方便啊。

6. 不安全的文件存储

管理员为了系统安全经常备份系统,很多系统做的很人性化,可以在线备份。但是很遗憾,文件存储在可访问目录:

如果有实施人员安装好网站,没有删除安装文件,就更方便了。

另外一个场景,日志对查找问题很重要,但是服务器很多时候不是能够直接访问的,去拿日志多麻烦啊,开个远程访问多方便;于是坏人也方便。

7. 配置漏洞-不安全的权限设置

这是利用apach漏洞篡改文件的架势啊,我的首页目录是可写的,已经被人加料了。

8. 操作系统漏洞 - 文件执行漏洞

有安全意识的开发人员把文件放到Web目录之外,安全多了。但是总得访问啊,于是得在代码里面把文件读进来,于是需要去查找一下文件:

密码已经给出去了。

9. 配置漏洞-不要用管理员启动服务

建个专门用来启动Web服务的用户很麻烦?但是是必须的。

您可能觉得这个不是小儿科,我发现两个点就清理掉:

10. 脚本注入

脚本注入你防了, 但有没有防%3Cscript ? 进一步有没有防ScRipt? 或者:%3cs%43ript%3e

为什么要白名单不要黑名单 - 防不胜防啊!

11. SQL注入

看看您的数据库有几张表。

12. 留后门的下场

为了方便管理,需要留个后门统计信息,并且适当的时候可以远程管理,别人又不知道的。

若想人不知、除非己莫为。

13. 溢出攻击和三方管道

溢出攻击大意就是制造出越界,在越界时可以导致堆栈之外的值被篡改。这部分研究还不太了解。不过这个更像是试探,下面这个更像溢出:

后面全部是././, 至少好几K,估计是一直尝试到HTTP可接受最大报文。

三方管道很重要,因为大部分情况我们会防别人攻击,但是很少会防内部传输出去。敌人攻进来之后不是要住下不走了的,而是要把您的有价值的内容偷出去,那么进来是一回事,送出去又是一件事情了。很多服务器开启了Web访问权限,无异于为敌人的运输打开大门。

举个实例,您的系统有SQL注入,但不是UNION注入而是SQL盲注,那么坏人通过SQL注入能够窃取到您的数据库(拖库),这个文件如何送回来呢?

当然如果您的用户有很高的权限,把这个文件写到外网可访问目录即可。但是如果不能呢?于是需要建立一个三方管道,本节第一张图的第二行就是在对方服务器上登记了一下我的信息,如果登记成功,下次可以用这个HTTP通道传输数据了,甚至可以用80端口与对方的木马控制程序连接,后面的事情就和您远程桌面一样地方便。

所以,记得禁止服务器向外连接哦!限制Web服务器仅可以访问后台特定系统如数据库,是非常必要的。

14. SQL盲注

您问什么是SQL盲注?盲注就是闭着眼睛注入呗。例如您的Order By 子句有SQL拼接,这个地方没办法用Union把数据取出来,那我怎么判断注入成功与否呢?

这段指令如果接到Order后面,生成一个SQL语句:select .. from .. Order By if(now()==sysdate(),sleep(9),0)

now 肯定等于sysdate啊,敌人真傻哦!

您说对了,now 等于sysdate, 如果注入成功,请求应该9秒之后才返回,否则立即回来了。

再如insert和update注入,他们不会返回数据的值的,但是:

如果注入成功,应该延迟3秒,下次可以在这里发挥了,比如写个: shutdown; 或者:drop table tb_users

小结

现在有太多的自动工具,小黑不用懂神马专业技术,就可以轻松渗透进您的网站。网上有人说80%的机器都是肉鸡,按照本服务器开机就受到的攻击来看,毫不夸张啊!您如果没有系统性地制定安全防范,一旦接入外网,能够活过8个小时已经很不容易了。

Web服务器在外网能裸奔多久?

很多时候我们轻易地把Web服务器暴露在公网上,查看一下访问日志,可以看到会收到大量的攻击请求,这个是网站开通后几个小时收到的请求: 1.  探测服务器信息 在上线一分钟,收到OPTION请求探测。...
  • lang_niu
  • lang_niu
  • 2016年05月30日 23:28
  • 1127

外网能访问内网的WEB服务器上的站点方法

说明,本机上有web服务器,用一个动态域名解析服务软件进行内网和公网之间的ip地址解析 一  首先在内网本机上安装web服务器,windows 是IIS服务器  linux 是Apache 服务...
  • lovegonghui
  • lovegonghui
  • 2016年05月23日 09:08
  • 1552

Win7到底能不能“裸奔”?

  Windows 7(以下简称Win 7)自发布以来,其诸多方面的改进一直被人们所关注,而在重要的安全防护方面,更是有“牛人”豪言:用Win 7完全不需要安装杀软,“裸奔”即可“畅游”互联网。“牛人...
  • booksworms
  • booksworms
  • 2009年11月12日 11:02
  • 671

JavaWeb项目部署到外网服务器上ping IP能ping通但访问项目无法显示

环境: 服务器环境:Windows server 2008 项目war包正常 Tomcat8 JDK1.8 MySQL5.5 问题: 在服务器上可以用localhost...
  • hengbao4
  • hengbao4
  • 2017年09月25日 13:09
  • 342

为什么在外网可以用域名访问我们的web服务器,而在内网则不行

局域网中访问别人的网站时,浏览器会发送一个请求给网关(公网接入路由或者服务器),在网关会生成一个路由表,记录访问的路径(以备访问信息返回的时候好知道把信息转发给谁)再把请求发送到远端主机,远端主机返回...
  • wumingabc
  • wumingabc
  • 2006年11月24日 19:21
  • 2614

个人电脑变成服务器,使用ngrok将本地Web服务映射到外网

1、什么是ngrok。 ngrok 是一个反向代理,通过在公共的端点和本地运行的 Web 服务器之间建立一个安全的通道。ngrok 可捕获和分析所有通道上的流量,便于后期分析和重放。 2、为什么要...
  • yjc_1111
  • yjc_1111
  • 2016年11月08日 13:31
  • 2581

linux web内网能访问,外网不可以

http 内网能访问,外网不能访问的问题? 1,检查硬件防火墙IP映射,是否开放了http的访问端口 2,服务器防火墙是不是屏蔽了访问端口。    修改防火墙配置需要修改 /etc/syscon...
  • shuzhongxiao
  • shuzhongxiao
  • 2012年05月29日 14:14
  • 6448

利用树莓派搭建公网可访问web服务器Nginx

摘要   购买了Raspberry Pi 3 Model B 之后,就一直想将小派亲手打造成公网服务器。本来想实验室会给弄一个服务器,毕竟研究方向是云计算和机器学习,结果发现自己想多了,还是用小派自...
  • qq_20142511
  • qq_20142511
  • 2017年07月08日 22:04
  • 566

我们还要裸奔多久?

国内知名的安全反馈平台乌云(WooYun)最近发现,中国电信官网189.cn上存在极其严重的安全漏洞,攻击者能够利用它获取极为敏感的用户隐私,包括通话详细记录等全部无所遁形。 其实乌云平台在今年...
  • cometwo
  • cometwo
  • 2013年03月09日 10:34
  • 703

在服务器上的tomcat发布WEB项目供外网访问

1、首先你要确定你有一个外网ip地址。如果你分配到的是一个局域网IP地址需要经过一系列的转换为外网ip地址,然后继续下面操作。 2、拿到外网IP地址,进行tomcat的server.xml文件的...
  • tongxinxiao
  • tongxinxiao
  • 2014年12月03日 17:58
  • 1194
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:Web服务器在外网能裸奔多久?
举报原因:
原因补充:

(最多只允许输入30个字)