之前写了一篇揭露某人自称传说中的"高手",黑了飞乐宾政府网站的解密(http://www.2cto.com/Article/201205/130654.html),被很多网站转载,今天曲子龙在这里就再谈网络安全问题,很多人对Quu这个名称并不是熟悉,很显然我也不是什么传说中的"大神"大牛,只是原Cnhacker成员,10年解散后,漂泊两年,组织自己的团队,于今年加入红黑联盟,当然现实在是本土一个发展中的网络公司,加艺网络,任职安全顾问,其实以前很少分享这种安全的问题,但是真正接触上每天维护公司客户的诸多站点后,遇到各种问题,还是想把这些心得写出来,与大家分享,本人博客www.ljseo.com,同步红黑联盟www.2cto.com以及个人小站www.mcbang.com 希望采集资源的朋友,留个版权,拿别人的劳动果实,没意义,你说对吧?当然我分享的也都是一些入门级的嘛,,,哈哈

　　前几天有分享过公司的客户站点被挂黑链的问题,也就是这样的问题,自己的网站安全做的自认为还算可以了,但是还是被挂上了黑链,检测了一下整台服务器全部被恶意挂上黑链,于是打电话给电信通北京总部,机房的客服人员,听到情况后,只是用简单的服务器杀毒软件去检测一次.就告诉我们服务器没有安全漏洞,打的都是最新的补丁,尼玛,我被秒杀了,之后电信通技术人员,只是简单的清理了一下被挂的黑链,就告诉我,安全做完了,漏洞也修补了,没过几天又出现该问题,挂的是相同的黑链,为他们找到了注入的站点,他们的回应是检测了没有问题,也就是用杀毒软件检查了他们的网站程序目录没有木马!这真的让我看到了庞大的鹏博士机房的安全人员的技术水平!堪称一流!惹不起我躲的起,我搬!!!!

　　我相信很多的站长都遇到过这样的问题,已经用了很多防注入程序,而且也通过web安全服务检测工具确认了自己的网站没有安全漏洞,用的也并非主流CMS程序,可是网站仍然会被入侵,频频出现黑链,网马,扰的心神不宁,最可恨的是被入侵还找不到漏洞,感觉岌岌可危,其实这时候你应该换一个思想去分析,自己的网站没有出问题,那么是不是服务器出了问题呢?我们这样设想,现在的很多站长,都是出于省钱,便宜去考虑,所以会在外面租用廉价的虚拟主机,而现在国内的一般提供商都是用的星外,华众,KLOXO,这类虚拟主机管理系统,( 虚拟主机管理系统是在操作系统下对操作系统的服务器软件及其相关软件进行二次设置的管理软件,是运营商管理域名、虚拟主机、企业邮局、数据库等虚拟主机类产品的一个网站平台，以达到快捷实现域名、虚拟主机、企业邮局、数据库等产品的实时在线开设和管理的目的。) 也就是说,你的网站和很多的网站在共同使用同一台服务器,而服务商通过主机管理系统为站长分配数据库以及存储资源,因为服务器是多站共享,共同使用的,所以当服务器上有任意一个网站存在安全漏洞的时候,就会被人利用该网站的漏洞进行注入,提权,我们把这样的攻击手段,称之为旁注!

　　对于旁注用我的非官方理解给大家的表述就是,当黑阔想要攻击目标网站的时候,却苦于改站安全做的不错,不容易攻破,于是换个思维方式去检测该站点的同服务器其它站点,通过其它同服务器站点的漏洞,上传shell,从而获取该服务器的部分操作权限,而因为很多的主机管理系统对于虚拟目录的权限分配不够严格,进而进行提权,最终获得服务器管理员权限,再返回目标站,进行窃取和篡改行为操作!

　　一忽而百漏,当然确切的说是,一漏而百漏,很多的黑阔在攻击目标的网站不好下手的时候,都会采用这样的思维模式进行尝试,作为小站长,本能为自己的网站打造好安全的防御体系,但是因为用了小公司的虚拟主机,廉价主机,很多的国内的小IDC都是在机房托管一个服务器,然后安装一个主机管理系统,架设上IDC网站就做IDC的,因为托管费用低廉,所以相对的主机价格也比较廉价,而站长靠着图便宜的思想,选择了这样的主机商,他们并非是专业的主机供应商,只是懂了一些基本的维护,架设,就成了有模有样的IDC,所以对自己的服务器安全并没有很高的意识,当然说到这个问题的时候我在这里要再一次批判一次电信通鹏博士机房,太垃圾了!

　　鹏博士的产品很好,速度也是一流,可惜就毁在了他们的机房技术人员上,对安全意识的匮乏,真的是让我不敢恭维了!这样也跟很多的小站长说一下,选择主机的时候一定要细心选取,避免贪小便宜吃大亏的窘境,当然使用独立服务器和VPS的盆友,我感觉我还是在这里推荐一下我们"D哥"的D盾吧.,(哈哈,D哥,你看我曲子龙多讲究,写个安全文章还给你做广告,要给小红花的!哈哈!) 没用过的可以下载一个去尝试下,下载地址:http://www.d99net.net/

　　如果对注入了解的,就知道最早的啊D注入,现在的D盾,师出同门,可是用途却是有攻有防的,,哈哈!

       关注网络安全,关注信息资讯,欢迎收听微博 http://t.qq.com/quxiaojiong  ( 文章原创红黑联盟管理 加艺网络安全顾问: 曲子龙 )