百度站長平臺推出重磅站長安全工具——漏洞檢測工具，該工具可以檢測網(wǎng)站存在哪些風(fēng)險，并能根據(jù)不同的風(fēng)險給出詳細(xì)的修復(fù)建議及該風(fēng)險的危險等級，主要漏洞類型見下方介紹。為了保證網(wǎng)站的安全運(yùn)營，建議您定期使用該工具對網(wǎng)站進(jìn)行漏洞檢測。
國內(nèi)超三分之二網(wǎng)站存在高危漏洞
百度安全聯(lián)盟合作伙伴知道創(chuàng)宇旗下的安全工具Scanv及加速樂監(jiān)測到國內(nèi)有高危漏洞的網(wǎng)站占全網(wǎng)的三分之二以上，每天防護(hù)的僵尸網(wǎng)絡(luò)攻擊高達(dá)1億余次。如果網(wǎng)站的漏洞由于未及時修復(fù)導(dǎo)致被黑客利用入侵，必然會嚴(yán)重影響網(wǎng)站的用戶體驗及網(wǎng)站的正常運(yùn)營，最終會影響到您的網(wǎng)站在百度網(wǎng)頁搜索中的體現(xiàn)。網(wǎng)站漏洞問題非常嚴(yán)重，網(wǎng)站安全為網(wǎng)站運(yùn)營的重中之重，希望站長們重視安全問題，用好漏洞檢測工具，保證網(wǎng)站的安全運(yùn)轉(zhuǎn)及用戶體驗。同時推薦使用百度安全聯(lián)盟合作伙伴：知道創(chuàng)宇旗下的安全工具Scanv及加速樂有效的保護(hù)您的網(wǎng)站不被黑客破壞。
如何使用漏洞檢測工具
第一步，注冊并登錄百度站長平臺.
第二步，提交網(wǎng)站并驗證歸屬，具體驗證網(wǎng)站歸屬方法可見幫助文檔
第三步，選擇左側(cè)“站點管理”
第四步，在已認(rèn)證歸屬的站點列表中選擇需要查詢的站點
第五步，選擇左側(cè)“漏洞檢測”
第六步，可檢測到網(wǎng)站是否存在漏洞問題(主要展示形式如下圖)
漏洞類型說明
1、高危漏洞
高危漏洞包括：SQL注入漏洞、XSS跨站腳本漏洞、頁面存在源代碼泄露、網(wǎng)站存在備份文件、網(wǎng)站存在包含SVN信息的文件、網(wǎng)站存在Resin任意文件讀取漏洞。
SQL注入漏洞：網(wǎng)站程序忽略了對輸入字符串中包含的SQL語句的檢查，使得包含的SQL語句被數(shù)據(jù)庫誤認(rèn)為是合法的SQL指令而運(yùn)行，導(dǎo)致數(shù)據(jù)庫中各種敏感數(shù)據(jù)被盜取、更改或刪除。
XSS跨站腳本漏洞：網(wǎng)站程序忽略了對輸入字符串中特殊字符與字符串的檢查，使得攻擊者可以欺騙用戶訪問包含惡意JavaScript代碼的頁面，使得惡意代碼在用戶瀏覽器中執(zhí)行，從而導(dǎo)致目標(biāo)用戶權(quán)限被盜取或數(shù)據(jù)被篡改。
頁面存在源代碼泄露：頁面存在源代碼泄露,可能導(dǎo)致網(wǎng)站服務(wù)的關(guān)鍵邏輯、配置的賬號密碼泄露，攻擊者利用該信息可以更容易得到網(wǎng)站權(quán)限，導(dǎo)致網(wǎng)站被黑。
網(wǎng)站存在備份文件：網(wǎng)站存在備份文件，例如數(shù)據(jù)庫備份文件、網(wǎng)站源碼備份文件等，攻擊者利用該信息可以更容易得到網(wǎng)站權(quán)限，導(dǎo)致網(wǎng)站被黑。
網(wǎng)站存在包含SVN信息的文件：網(wǎng)站存在包含SVN信息的文件，這是網(wǎng)站源碼的版本控制器私有文件，里面包含SVN服務(wù)的地址、提交的私有文件名、SVN用戶名等信息，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
網(wǎng)站存在Resin任意文件讀取漏洞：安裝某些版本Resin服務(wù)器的網(wǎng)站存在可讀取任意文件的漏洞，攻擊者利用該漏洞可以讀取網(wǎng)站服務(wù)器的任意文件內(nèi)容，導(dǎo)致網(wǎng)站被黑。
2、中危漏洞
中危漏洞包括：網(wǎng)站存在目錄瀏覽漏洞、網(wǎng)站存在PHPINFO文件、網(wǎng)站存在服務(wù)器環(huán)境探針文件、網(wǎng)站存在日志信息文件、網(wǎng)站存在JSP示例文件。
網(wǎng)站存在目錄瀏覽漏洞：網(wǎng)站存在配置缺陷，存在目錄可瀏覽漏洞，這會導(dǎo)致網(wǎng)站很多隱私文件與目錄泄露，比如數(shù)據(jù)庫備份文件、配置文件等，攻擊者利用該信息可以更容易得到網(wǎng)站權(quán)限，導(dǎo)致網(wǎng)站被黑。
網(wǎng)站存在PHPINFO文件：網(wǎng)站存在PHPINFO文件，這個是PHP特有的信息文件，會導(dǎo)致網(wǎng)站的大量架構(gòu)信息泄露，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
網(wǎng)站存在服務(wù)器環(huán)境探針文件：網(wǎng)站存在服務(wù)器環(huán)境探針文件，該文件會導(dǎo)致網(wǎng)站的大量架構(gòu)信息泄露，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
網(wǎng)站存在日志信息文件：網(wǎng)站存在日志信息文件，該文件包含的錯誤信息會導(dǎo)致網(wǎng)站的一些架構(gòu)信息泄露，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
網(wǎng)站存在JSP示例文件：網(wǎng)站存在JSP示例文件，該文件的弱口令會導(dǎo)致網(wǎng)站的大量架構(gòu)信息泄露，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
3、低危漏洞
低危漏洞包括：頁面上存在網(wǎng)站程序的調(diào)試信息、網(wǎng)站存在后臺登錄地址、網(wǎng)站存在服務(wù)端統(tǒng)計信息文件、網(wǎng)站存在敏感目錄。
頁面上存在網(wǎng)站程序的調(diào)試信息：頁面上存在數(shù)據(jù)庫信息，例如數(shù)據(jù)庫名、數(shù)據(jù)庫管理員名，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
網(wǎng)站存在后臺登錄地址：網(wǎng)站存在后臺登錄地址，攻擊者經(jīng)常使用這個地址進(jìn)行網(wǎng)站的后臺登陸，比如弱密碼、表單繞過、暴力破解等，從而得到網(wǎng)站的權(quán)限。
網(wǎng)站存在服務(wù)端統(tǒng)計信息文件：網(wǎng)站存在服務(wù)端統(tǒng)計信息文件，該文件會導(dǎo)致網(wǎng)站的一些架構(gòu)信息泄露，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
網(wǎng)站存在敏感目錄：網(wǎng)站存在敏感目錄，例如/upload/database /bak，該信息有助于攻擊者更全面了解網(wǎng)站的架構(gòu)，為攻擊者入侵網(wǎng)站提供幫助。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
