请认准"下载楼"官方域名 http://www.daxingwx.net     第6章 两个比赛 (第1/3页)

    sql注入说到底只是一种入侵手段，而除非黑客对网站本身的权限和密码感兴趣，否则就还会有后续步骤和目的。

    大圣商贸这里遇到的应该就是后一种。黑客利用这种方式控制访问该网站的个人电脑或其他终端，然后收集这些终端的数据。

    被收集了数据的个人电脑和终端将被黑客隐秘的控制，成为一台“肉鸡”。而以后，当黑客想要对某些网站发动洪水攻击时，便能方便利用到这些肉鸡。或者也可以在其他攻击中使用肉鸡当跳板。

    让钟锦感到奇怪的是，这样一个小公司的内部网站，究竟有什么注入价值。其独立访问量可能一天都不过百，而且大多时候来源是同样的电脑，所以通过这种注入恶意脚本的方式能控制的电脑实在有限。

    这样不会很不值得吗？

    不过她并没有继续想下去。反正齐辉找她来只是为了解决问题，她也就专心于此便好。

    遭到sql注入之后标准的事件响应方式包括三部分：

    一、关闭网站

    二、查看iis日志，查找引起攻击的漏洞源网页

    三、增强改进asp页面，防堵漏洞。【注1】

    不过这三部是属于危机响应的方案，亡羊补牢的意味大于解决问题，治标不治本。网站切断了外部链接之后等于关闭，只有内部ip可以连接。然后通过日志查找，钟锦很快确定了漏洞所在页面。

    仔细浏览了前后台代码之后，钟锦发现这个漏洞十分明显，而且修改起来并不困难。

    “注入点我已经找到了，看这里，是存储过程使用执行命令的参数问题。这里参数不要直接写入，要用传参……”

    钟锦一边说，一边迅速改动着文档，没几分钟就完成修改。刷洗页面之后，与原来无异。但是通过简单的验证之后发现，页面已经无法进行注入攻击。

    齐辉毕竟实习这么久，钟锦做了一步他就看明白了。

    “不过你们网站里类似的漏洞还不少，估计所有的存储程序都要梳理一遍。”钟锦提示齐辉，“否则再次打开公共访问之后，攻击还会出现。”

    齐辉点头：“知道怎么修改堵漏洞就行，剩下的我慢慢来吧，正好可以找老板要加班工资。”

    说完三个人都笑了。

    “我再帮你查一下有没有其他种类漏洞。”钟锦说着打开自己的网盘，从里面拖了一个扫描器出来。

    虽然是小公司的内部站，但也并不是简单的几个表格几个页面组成的。前台后台加起来上千个文件，光是基本表格就有几十张张，而大量的sql存储过程最可能隐含可注入点。钟锦要是想全部看完根本不现

    （本章未完，请点击下一页继续阅读） 请认准"下载楼"官方域名 http://www.daxingwx.net