现在用 php 开发网站的已经很少了吧,前后端分离 docker 微服务大行其道,以前那点手段怕是行不通了吧!
1
aaa5838769 2022-09-26 23:43:20 +08:00 1
那不一定,得看 IP 对公网的暴露面有哪些。你只有一个 web 页面,肯定得从 web 入手。
|
2
phithon 2022-09-26 23:46:22 +08:00
不是。
|
3
PMR 2022-09-26 23:50:52 +08:00 via Android 2
Owasp top 10
|
4
crab 2022-09-26 23:59:00 +08:00
注入还是有吧,sqlmap 。
|
5
dingwen07 2022-09-27 08:01:29 +08:00 via iPhone
我寻思现在都用 Prepared Statement 的情况下,SQL 注入还可行吗……
|
6
pangpre 2022-09-27 08:13:14 +08:00 via iPhone
PHP 攻击是执行 shell 吗?还有其他的吗?
|
7
jinliming2 2022-09-27 08:30:13 +08:00 via iPhone 1
建议以不同语言的框架,加上 CVE 为关键词搜一搜。
即便是其他比较流行的语言,使用的比较就行的框架的最新版本,都可能存在目录遍历、文件访问、任意代码执行之类的漏洞。 比如去年,Java 用的比较流行的 Log4j2 ,去年就爆出了任意代码执行的 0day ,人家控制你服务器打一个访问日志,你的服务器就被控制了…… |
8
v2eb 2022-09-27 08:34:50 +08:00 via Android 5
通用中间件和旁路设备的攻击, gov 都演练好多年了
|
9
aino 2022-09-27 08:48:35 +08:00
经典永不过时
|
10
xiao109 2022-09-27 08:51:57 +08:00
高端的黑客往往使用最朴实的攻击手段
|
11
singerll 2022-09-27 08:58:15 +08:00 via Android 1
渗透我只服社会工程学。
|
13
cat9life 2022-09-27 09:01:22 +08:00
古老的手段不代表没用,有时候注入有奇效,像弱口令一样。不是说“没有技术含量”就没用
|
14
sunny1688 2022-09-27 09:16:00 +08:00
和语言有关系吗
|
15
julyclyde 2022-09-27 09:16:52 +08:00 9
这事跟 docker 有啥关系?
就这种“言必称 docker”的菜鸟,才是 bug 的根源 |
17
NewYear 2022-09-27 09:17:55 +08:00
我这边是制造业中等偏小的企业,用的大厂的产品(私有部署),最坑的就是 web 端,Java 语言,各种漏洞,各种补丁,没有自动补丁功能,全手工,很难想象很多没有专业技能的企业,如何应对得过去。
|
18
HugoChao 2022-09-27 09:21:50 +08:00
词典刷弱口令肯定没过时
|
19
xdzhang 2022-09-27 09:24:16 +08:00 1
天天一堆尝试 www.rar www.zip bak.zip .gz 的,都无语了。
|
20
raysonlu 2022-09-27 09:24:42 +08:00
DD 才是流氓
|
21
keepeye 2022-09-27 09:43:14 +08:00
docker 包治百病吗?
|
23
hahiru 2022-09-27 09:49:37 +08:00
邮件钓鱼依旧好用。
|
24
melsp 2022-09-27 09:50:11 +08:00 via Android
你这个 php 和 sql 问题很奇怪,有肯定有他存在的道理
|
25
LZSZ 2022-09-27 09:52:17 +08:00
直接潜入(不是
|
26
jaggle 2022-09-27 09:53:09 +08:00
docker 在安全方面的作用就是 应用相互隔离,以往的架构上,一个应用有漏洞会导致服务器上所有应用都有可能受到攻击
|
28
pkoukk 2022-09-27 10:02:17 +08:00
各种中间件漏洞,什么 es,redis 一类的
这些组件大多数情况下都不会及时升级版本,如果暴露在公网,防护能力比较弱,就极有可能遭到漏洞攻击 上次号称上海丢了几亿条数据,据称就是 es 被拖了 |
29
mrgeneral 2022-09-27 10:06:14 +08:00
Docker 不管 SQL 数据注入,如果是提权还是可以防一下。
|
30
renmu 2022-09-27 10:09:39 +08:00 via Android
WordPress ,你是指我吗?
|
32
zyronon 2022-09-27 10:22:43 +08:00
docker 特定版本也可以逃逸
|
33
yakumo520 2022-09-27 10:25:49 +08:00
啊,对对对,2022 年了,PHP 就是比其他语言容易被注入
|
34
qzhai 2022-09-27 10:32:47 +08:00
从全球角度看,php 应该还是 web 的大头,毕竟有个开源的 WordPress 在那
|
35
ym1ng 2022-09-27 10:34:07 +08:00
https://www.secrss.com/articles/11077
你们啊 还是要学习一个(手动狗头 |
36
laolaowang 2022-09-27 10:34:34 +08:00
什么 PHP ,什么注入,直接插 U 盘,拔网线不好么?
|
37
laotun 2022-09-27 10:39:00 +08:00
都 2022 年了,每年的护网还是有那么多企业被打穿
|
38
brader 2022-09-27 10:41:16 +08:00 3
都 2022 年了,还在黑 PHP 吗,怎么,其他语言、框架,没有漏洞了吗,前段时间闹得沸沸扬扬的 log4j 那么快就忘了?影响还不够大?
|
39
zjsxwc 2022-09-27 10:53:54 +08:00 1
现在用 厕纸擦屁股 的已经很少了吧,智能马桶 大行其道,以前那点手段怕是行不通了吧!
|
41
onice 2022-09-27 11:34:38 +08:00 13
一个网站的风险有这几个风险点:
一个是来自 web 应用程序本身的漏洞,比如你说的注入,还有跨站脚本这些。 第二是 web 服务器环境的漏洞,比如 Java 项目使用的 tomcat ,weblogic ,还有.net 网站使用的 iis ,还有 php 使用的 apache ,nginx 等。 第三个是主机漏洞,来自操作系统的漏洞。比如比较经典的永恒之蓝。 参考上述三点。即使是你保证了你的 web 程序没漏洞,但也不能防止 web 中间件的漏洞和主机操作系统的漏洞。 对于巨石应用,所有环境都部署在一台服务器上的,安全比较好做。三个层面做好就行了。 但是对于一个大型企业,不可能只有一个网站应用。当网站系统和服务器主机数量成规模了,就比较考研运维人员的能力了。 对于攻击者,我们只会挑薄弱的地方下手。找到存在漏洞的站点作为立足点,逐步进入企业内网,并横向移动直到获取域控权限。 没有永远安全的系统。随着时间推移,上面提到的三个方向,一定会出现漏洞,而随着网站数据增加,重要的系统迁移到新系统成本反而很大,大部分企业不会重视,不会为了安全原因投钱开发一个新系统。现在很多企业,甚至还用着 centos6 ,用着 windows7 。 当所有技术手段都失效了,我们还可以用社会工程学。 鱼叉攻击,水坑攻击这些。 参考最近西北工业大学的入侵事件。 总之,安全是整体,具有木桶效用。并不是说前后端分离了,就安全了。 |
43
h175h32 2022-09-27 12:33:58 +08:00
这两种快速有效啊。
|
44
superrichman 2022-09-27 12:43:44 +08:00 via Android
@onice 大哥总结的好,一看就是专业的
|
45
520discuz 2022-09-27 13:26:33 +08:00
1.怕 centos 被黑 2.怕 nginx 被黑 3.怕 php 被黑 4.怕 mysql 被黑 5.怕 phpmyadmin 被黑 6.怕 cms 被黑 7.怕宝塔被黑 8.怕 cms 第三方插件有漏洞或带后门 9.怕宝塔第三方插件有漏洞或带后门
这 9 个里只要有一个出问题网站就被黑了~~~ |
46
Akesudia 2022-09-27 13:38:50 +08:00
千里之堤,溃于蚁穴。
|
47
lmmlwen 2022-09-27 13:52:09 +08:00 1
干脆你直接开喷 php 就好了,你是不是觉得你智商还挺高,说的挺隐晦啊?
|
48
abersheeran 2022-09-27 13:53:06 +08:00 1
@dingwen07 赚的就是菜鸟的钱啊。我为前公司做了一套 ORM ,防注入的。顶不住有人还是直接拼字符串,被公司内安服人员内部 sqlmap 扫出来了。一开始是我被叫过去,说是我 ORM 有问题。再一看代码,压根没用我 ORM ,直接拿了 connection 传 SQL 的。💦非常无语。
|
49
zunceng 2022-09-27 14:05:49 +08:00 1
说一个我们服务器被攻破的案例
服务是 Golang + docker 也没有啥漏洞。 然后 sre 组在开发完全不知情的情况下部署了了一个 Logstash 收集 docker 日志。docker 里面有一个 nginx 把 http head refer 打印出来了。爆出 log4j JNDI 的问题后一段时间 我们公司的服务器也中招了,整个组懵逼的找了好久问题。 这种情况啥都防不住 |
50
KimGuo 2022-09-27 14:34:16 +08:00
说的简单,又不知道今年 WA 又有多少公司被打穿了
|
51
xiaoding 2022-09-27 14:44:57 +08:00
跟语言无关,跟前后端分离无关,跟云原生架构也无关,
只要有输入输出,有针对外部提交的数据进行处理分析,就会有风险, 即使没有输入,也有安全性的问题: 系统瘫痪(可用性),造成关键数据丢失(完整性)等等, 即使底层系统和应用系统是安全的,业务不安全(风控,反欺诈) 即使外部安全但内部不安全(内鬼,数据泄漏)等等 |
53
yolande 2022-09-27 15:25:57 +08:00
高端的黑客往往只需要采用最朴素的攻击方式
|
56
zlowly 2022-09-27 16:24:57 +08:00
因为知道 PHP 和 sql 注入危害的人已经年纪大了,不是做管理就是被优化了,作为码农生力军的新入门菜鸟继续重复着这些错误。
什么 docker 微服务,对黑客的拖库和挖矿来说,影响其实并不大,而且部署 docker 的人往往更疏于关注系统更新和补丁。 |
57
xuanbg 2022-09-27 16:48:08 +08:00
只能说有效就好!很多系统的安全性薄弱到令人发指。。。真的
|
58
exploreexe 2022-09-27 17:14:41 +08:00
网络安全这事,只要联网了就有安全问题,反正我看过的很多被入侵案例都挺超出想象力的,有些管理员各种安全手段用上,结果一个习惯就可能导致服务器被黑。
比如有些程序员特别费劲的做了一通安全防护,结果运营压根不管,怎么简单怎么来,一点招没有。哈哈哈 |
59
someonedeng 2022-09-27 17:30:10 +08:00
|
60
pusheax 2022-09-27 20:07:05 +08:00
SQL 注射远不止存在于 Web 应用。
举个例子,C/S 架构的应用程序,也可能存在 SQL 注射。像 TDS 协议,流量无法全加密,配合 ARP 欺骗的手段,就可以执行任意 SQL 语句。 目前来说,SQL 注射还是影响十分广泛的安全问题。因为它不像中间件,或者操作系统的 NDay ,可以通过打补丁修复。 这一类与开发者水平强相关的漏洞,可能永远无法根除。 |
61
demoshengxw 2022-09-27 20:29:48 +08:00 via iPhone
我寻思 2022 年了,php 都走 pdo 参数绑定后 mysql 服务端压根对参数不做语义解析。这怎么会有注入呢
|
62
demoshengxw 2022-09-27 20:32:33 +08:00 via iPhone
再说这跟你走不走容器没有任何关系,本质上是利用构造字符串执行恶意 sql ,跟 php 在什么环境没啥关系啊
|
63
karloku 2022-09-27 20:52:53 +08:00
各种云平台和开发框架 /成熟库把很多弱智错误都规避掉了
现在通常社工手段会更容易一点. 为了便利要求开发者主动降低安全性的运营; 完全没有防钓鱼意识的管理者; 会把密钥传去 github 的开发... |
64
sprite82 2022-09-27 20:58:24 +08:00
部署了个博客,我自己都十天半个月不看一次的,但是 nginx 每天都有几个 ip 来扫漏洞, 请求后缀都是 php, asp 等
最常见的是 phpadmin ,还有 ../.git ../.ssh/config 这类想访问密钥的 |
65
f165af34d4830eeb 2022-09-27 21:23:58 +08:00
|
66
ragnaroks 2022-09-27 21:38:53 +08:00
你说的脚本小子,真正的黑客参考美国对中国的网络攻击
|
67
Chaconne 2022-09-27 23:27:33 +08:00
初级黑客:社工也算厉害的工具?
顶级黑客:社工是最厉害的工具! |
68
pandamen 2022-09-28 09:49:54 +08:00
世界上只有两种语言,一种是经常被人骂的,另一种是没人用的。
|
69
leakless 2022-09-28 14:19:58 +08:00
|