WEB安全_基础入门_搭建安全拓展 常见搭建平台（中间件）脚本启用

常见搭建平台（中间件）脚本启用

一、常见搭建平台脚本启用

ASP,PHP,ASPX,JSP,PY,JAVAWEB等环境

二、域名IP目录解析安全问题

IP地址访问可以发现更多的信息同时经常能找到程序源码备份文件和敏感信息，而域名访问只能发现一个文件夹下的所有文件。网站搭建的时候支持IP访问和域名访问，域名访问的时候一般只会指向某个目录，IP访问的时候指向的是根目录。



是使用ip地址解析，其实也可以搞个域名，进行域名解析，看下列操作

这个域名没有申请，只是做本地测试。


网站可以通过IP访问，也可以通过域名访问到。



有些网站搭建的时候会出现这些问题，目录扫描如下
ip地址扫描的话，是上一级blog
用域名扫描的话，是这个ww
用ip地址扫描，会扫描到更多的信息
所以有的会用这种方式

将网站备份


用ip地址扫描的话才能发现www.zip，这个文件。
ip直接访问到根目录，到www这里，可能到扫描到更多信息，比如这个备份的www.zip
域名访问指向一个目录，ip访问在网站的上一级目录能扫描到更多信息

三、常见文件后缀解析对应安全

指定后缀名对应某个文件，访问网站出现遇到不能解析的文件就是中间件可能默认或者添加某些设置导致解析时出现问题。

进行添加








总结：
ISAPI，可以解析后缀名（网站中间站解析协议），可以尝试，其他扩展名例如.cdx .cer 都能解析asp。如果删除，name解析的时候就会出问题。

四、常见安全测试中的安全防护

1.网和企业内网会限制外部人员访问内部的网站，限制IP地址，规范访问者的权限。

2.身份验证和访问控制，基于用户的限制

3.限制IP地址的访问，授权访问-只允许指定IP地址可以访问。 拒绝访问-指定IP地址拒绝访问

这就相当于黑名单设置

五、WEB源码中敏感文件

后台路径

配置文件

备份文件

六、web后门与用户及文件权限

1.设置相关权限，禁止来宾用户的权限，导致连接的后门看不到任何东西，它属于防护技巧，同时也是测试里经常碰到的问题

2.设置了执行权限，没有执行权限，文件不给执行，代码就无法正常执行，后门就无法正常使用。

不给执行，后门也无法正常使用。

要试着把后门放到有脚本存放的正常目录，进行访问去操作一些。
3.绕过思路
将后门试着放在其他可以执行的目录。比如，网站根目录或者其他有脚本存放的目录下面

七、基于中间件的简要识别

通过抓取数据包的返回结果，查询搭建平台信息

八、基于中间件的安全漏洞

Web中间件常见漏洞总结