铸造安全的网站，保护访问者的安全

近日发现很多网站被黑。

b l o g . c s d n . n e t / b i g b i r d 9 9 8

被黑的网站一般是在内容中被植入iframe框架，而框架一般是指向另外一个网站。为了做到隐蔽，这个iframe一般会写成width=0和height=0，这样管理员一般就不会注意，这个iframe连接的目标网站一般都带有一个病毒，如果浏览者的浏览器没有打安全补丁的话就会直接中招。这也是浏览器莫名其妙弹出网页的原因之一。这已经形成产业链，并且已经产生了丰厚的利益，所以他们将有更多的能力来提升他们的技术。上述的情况 其实是一些人开发的一个批量自动黑网站的机器程序。其实他的原理很简单，一是找上传漏洞，二是找SQL注入漏洞，三是针对目前开源的网络程序（如动网BBS）进行针对性攻击。可以说如果能防止这三项的话，在安全方面应该就有了很好的保障。本人感觉目前windows 2003 server还是比较安全的，一般情况下的被黑和windows服务器本身是没有关系的，只是没有做好安全防范及权限设置。以上的三个方法任何防火墙都是无法防范的，因为这将通过80端口进行操作，一般的防火墙是不会对80端口进行干预的。

如果你有上述问题存在，请好好检查一下你的网站上传程序。转载至blog.csdn.net/bigbird998

现在的网站开发者，尤其MS SQL数据库的开发者一般都比较注意SQL注入漏洞了。越来越多的受害者其实是存在上传漏洞。利用上传漏洞的方法很多，据我了解，目前网站有不少免费的在线HTML编辑器，问题一般都出在这里。拿国内比较常用的eWebEditor来说，很多被黑者没有在eWebEditor的重要页面中做管理员身份验证，这样就有人可以直接询到地址直接通过脚本上传任意文件。freetextbox和fckeditor等虽然本身并没有问题，但如果开发过程中不注意上传扩展名的安全限制也很容易造成严重后果。另外就是在使用开源的程序时尽量读一遍他的代码或在网上搜索一下该产品是否存在安全问题。我的意见是尽量少用大型的开源程序。

作为一个网站开发者，我是非常痛恨靠弹窗广告或流氓软件发家的人的，希望我们共同努力不给这些人生存的空间。