中国真实偷乱视频,东京道一本热中文字幕,久久精品国产99国产精品亚洲,欧美激情一区二区三区在线

Board logo

標(biāo)題: [其它] webshell不可以跨站但可以讀寫(xiě)文件,求助！ [打印本頁(yè)]
作者: zhangds147    時(shí)間: 2013-9-13 18:42     標(biāo)題: webshell不可以跨站但可以讀寫(xiě)文件,求助！

12.jpg
webshell不可以跨站但可以讀寫(xiě)文件,求助！我在一個(gè)網(wǎng)站根目錄（子目錄也測(cè)試了）上傳一個(gè)后門(mén)，然后web進(jìn)入，發(fā)現(xiàn)可以上傳文件和修改刪除文件

文件目錄權(quán)限是755，求怎么防止后門(mén)修改文件？

以前用kolxo的時(shí)候就不會(huì)這樣。

圖片附件: 12.jpg (2013-9-13 18:37, 52.27 KB) / 下載次數(shù) 7642
http://www.ahbydz.com/bbs/attachment.php?aid=3616&k=732658191e9229f49a507add7c138c4f&t=1746181004&sid=i5CBJU

作者: acmkis    時(shí)間: 2013-9-13 21:24

如果你用的是apache的話，添加網(wǎng)站的時(shí)候勾上“限制目錄”即可
用ngnix的話，可以參考這里：http://www.lpboke.com/nginxphp%E9%98%B2%E8%B7%A8%E7%AB%99%E8%B7%A8%E7%9B%AE%E5%BD%95%E7%9A%84%E5%AE%89%E5%85%A8%E8%AE%BE%E7%BD%AE%E5%A4%9A%E7%A7%8D%E6%96%B9%E5%BC%8F%EF%BC%8C%E9%80%82%E5%90%88php5-3%E4%BB%A5%E4%B8%8A.html
作者: 飄云    時(shí)間: 2013-9-14 11:39

學(xué)習(xí)了。不錯(cuò)啊。
作者: zhangds147    時(shí)間: 2013-9-14 12:19

我已經(jīng)說(shuō)可以限制目錄 不可以限制讀寫(xiě)。 你回答的是個(gè)P我知道建站時(shí)候 勾選那個(gè)。
作者: itxx    時(shí)間: 2013-9-16 22:43

回復(fù) 4# zhangds147

由于php的部分函數(shù)具有操作系統(tǒng)的權(quán)限，建議禁止這些危險(xiǎn)函數(shù)，例如：system函數(shù)可以獲取比較高的權(quán)限。你提到的問(wèn)題我們會(huì)進(jìn)一步測(cè)試。
作者: zhangds147    時(shí)間: 2013-9-18 17:16

如果別人知道webshell的路徑，打開(kāi)后給你上傳一個(gè)phpmyadmin，再找出你的數(shù)據(jù)庫(kù)密碼和用戶(hù)名登陸后就可以刪除你VPS上所有的數(shù)據(jù)庫(kù)。雖然他夸不了站，打包不了你的程序， 但是可以刪除你所有的數(shù)據(jù)庫(kù)

我昨天又安裝了kloxo,kloxo可以封鎖所有讀寫(xiě)上傳功能，但是禁止不了跨站。就安全來(lái)講，封鎖讀寫(xiě)上傳肯定比跨站重要，就是黑客可以跨站，可以看到你網(wǎng)站的數(shù)據(jù)庫(kù)用戶(hù)密碼。 但是他任何破壞都做不了。
作者: zhangds147    時(shí)間: 2013-9-18 17:32

剛才我測(cè)試了。黑客用webshell上傳phpmyadmin，再利用你的數(shù)據(jù)庫(kù)配置文件得到你的用戶(hù)名和密碼，登錄后只能看到該網(wǎng)站目錄下的 數(shù)據(jù)庫(kù)， 數(shù)據(jù)庫(kù)也不可以跨站。只能在這一個(gè)目錄下?lián)v亂。
作者: zhangds147    時(shí)間: 2013-9-18 23:01

求解決禁止上傳。。。
作者: itxx    時(shí)間: 2013-9-19 10:46

回復(fù) 8# zhangds147


   測(cè)試中，請(qǐng)稍后。。。
作者: admin    時(shí)間: 2013-9-20 15:06

回復(fù) 6# zhangds147

數(shù)據(jù)庫(kù)里的話,除了root用戶(hù)權(quán)限,否則,看不到其它用戶(hù)的數(shù)據(jù)庫(kù)的,也操作不了其它的數(shù)據(jù)庫(kù)



歡迎光臨 WDlinux官方論壇 (http://www.ahbydz.com/bbs/) Powered by Discuz! 7.2