企业资讯
- 企业新闻
- 行业文章

渗透测试小贴士

通过察看源码，判定是否使用开源架构，如果是，查看是什么框架，及版本是多少？

由于程序员在使用开源框架时会使用基本的配置，或是保留该框架中未用到的文件，以及开源框架固有的漏洞问题，使其存在比较严重的安全问题，也是渗透测试员的一个突破点。

我们在察看源码时可以注意如下几点（例子）：
1）注释语句

     &lt;!– &lt;div id=”footer_”&gt;             &lt;div id=”f-poweredbyico”&gt;&lt;a href=”http://www.91ri.org”&gt;&lt;img src=”/wiki/skins/common/images/poweredby_mediawiki_88x31.png” height=”31″ width=”88″ alt=”Powered by MediaWiki” /&gt;&lt;/a&gt;&lt;/div&gt;          &lt;/div&gt; –&gt;

<!– <div id=“footer_”>

</div> –>

2）通用url

/wiki/skins/common/images
/wiki/skins/common/commonPrint.css

由此得知使用的是mediawiki，

我们可以进一步分析mediawiki的目录结构，注意一些重要的文件目录，例如
/mediawiki/includes/DefaultSettings.php
/mediawiki/includes/SiteConfiguration.php是否可以访问（很多使用开源框架的开发都不会注意对重要文件夹及文件进行访问控制设置，特别是一些政府和学校网站喜欢这样干）

鸿大千秋网站建设团队敬上