网站安全隐患的十大特征

上网浏览时经常会看到形形色色的程序错误，令人哭笑不得。无需对该网站的安全性作进一步调查，也可断定它一定是漏洞百出。之所以敢如此肯定，是因为这些程序错误反映出开发者对安全的无知，而这些丑陋的错误还在不断重复和传播。 如果你在自己的网站中发现了这些问题，就该坐下来和你的开发者们好好聊一聊，顺藤摸瓜，找出根源。也许你不愿面对现实，但自己发现总好过留在那里被别人发现。对于下面列出的每个症状，要知荼毒之广，不妨看看给出的例子，亦印证本文所言非虚。

1 暴露站点统计信息
哪些人正在访问我的站点？这个问题大家都想知道，网络上也并不缺少这样的程序 。有商业版的日志分析软件，也有日益流行、甚至一些商业网站也在采用的开源分析软件，因为它们能提供很花哨的功能，选择面也多，令人不解的是为何有些站点的管理员不去管好它！比如，流行的统计程序AWStats 和 Webalizer存在许多安全漏洞，使用这些程序相当于自暴其丑。此外，访客在你的站点的活动记录应属于机密信息，有何理由公之于众？

示例：

"Generated by Webalizer" intitle:"Usage Statistics"
inurl:awstats filetype:pl
2 被遗忘的备份文件
在开发个人网站时，许多人没有使用完整的开发环境或版本控制软件，这可以理解。但如果用在商业网站的开发中，问题就来了：有些人为了图方便，将旧的网页改个名字，再上传一个新的版本，如果有问题，再重新改回原来的旧版本。一般在这些文件的名字加上.bak 或 .old, 如果忘记删除这些旧文件，那些颇有心计的攻击者的机会就来了。服务器当然不知道".bak" 或".old"是什么类型的文件，会乖乖地把你的源代码拱手送出！

例子

filetype:bak inurl:"default"
filetype:old inurl:"index"
inurl:"Copy%20of%20"
3 你的站点入选了“恶人榜”
存在跨站点脚本漏洞的网站实在数不胜数，黑客们对此已经麻木了。已经出现了“恶人榜”(Wall of Shame)之类的站点，专供过路者随手张贴发现的漏洞站点，这种游街示众的做法好像有点不太厚道，但似乎只有这样才能引起他们对安全问题的重视。大名鼎鼎的Dell, HP, MySpace, Photobucket, F5, and Acunetix都曾经入选过 sla.ckers.org 的“恶人榜”。

例子

http://sla.ckers.org/forum/read.php?3,44
4 目录遍历
如果连自己的服务器都管不好，网站的安全性就无从谈起。尽管有些目录是有意允许遍历的，但通常都是服务器管理不当的症状。

例子

"index of cgi-bin"
intitle:"index of/" intext:"parent directory"
5 以明文发送登录密码
以明文发送登录密码等于用高音喇叭宣告：“我对安全一无所知”。

6 过期的SSL证书
如果一个网站连更新SSL证书的钱都舍不得出，你还信得过他们吗？如果你不打算更新证书，最好不要使用SSL。当客户准备交易时看到浏览器给出的错误消息显示连接有问题，肯定会攥紧自己的钱包。

7 第三方软件的漏洞
别误会，我很赞成代码重用，既然有很好的开源代码，为什么还要重新发明轮子？但是，千万不要过分信赖别人的代码。如果你要在项目中使用这些代码，就要用同样的安全标准审查这些代码，而且还要对它的缺陷进行跟踪。至少要定期订阅免费的缺陷发布网站的缺陷列表，检查这些共享代码有没有问题。

例子

Secunia
SecurityFocus
8 详细的错误消息
详细的错误消息对开发者很有用，但对用户来说等于“红色警报”。即使你不是安全专家，也能看出网页中包含的错误消息意味着网站有潜在的漏洞。各种网站中像瘟疫一样流行的SQL注入就是 最常见的安全漏洞，而那些错误信息就像是地雷的导火索。不要自作聪明，关闭错误显示并不能消除漏洞，只不过增加了发现的难度而已。

例子

"ORA-00921: unexpected end of SQL command"
"Microsoft OLE DB Provider for ODBC Drivers error"
9 源代码中的注释
注释可以用来标记需要进一步检视的代码，特别是团队中的多名程序员共同完成的代码。在代码进入发布阶段前，要确保提到的问题已经解决，并且删除与此相关的注释。使用 Google代码搜索 可找到隐藏在许多库文件中 有趣的注释。别让这些注释成为指向漏洞的地图。

例子

// TODO lang:javascript
// FIXME lang:javascript
10 你已经被黑了！
如果你的网站已经出现在 被黑站点统计系统国内 国外[Zone-H]的档案中，就别再浪费时间了。有大把事情等着你做！