如何查找APP漏洞并渗透测试 解决网站被黑客攻击
APP渗透测试目前包含了Android端+IOS端的漏洞检测与安全测试，前段时间某金融客户的APP被黑客恶意攻击，导致APP里的用户数据包括平台里的账号，密码，手机号，姓名都被信息泄露，通过老客户的介绍找到我们SINE安全公司寻求安全防护上的技术支持，防止后期APP被攻击以及数据篡改泄露等安全问题的发生。针对于客户发生的网站被黑客攻击以及用户资料泄露的情况，我们立即成立了SINE安全移动端APP应急响应小组，关于APP渗透测试的内容以及如何解决的问题我们做了汇总，通过这篇文章来分享给大家。
首先要了解客户的情况，知彼知己百战不殆，客户APP架构开发是Web（php语言）+VUE框架，服务器采用的是Linux centos系统，数据库与WEB APP端分离，通过内网进行传输，大部分金融以及虚拟币客户都是采用此架构，有的是RDS数据库，也基本都是内网传输，杜绝与前端的连接，防止数据被盗，但是如果前端服务器（APP）存在漏洞导致被黑客攻击，那么攻击者很有可能利用该服务器的权限去远程连接数据库端，导致数据泄露，用户信息被盗取的可能。
然后对客户服务器里的APP代码，以及网站PHP源文件进行代码的安全审计，以及网站木马文件的检测与清除，包括网站漏洞测试与挖掘，我们SINE安全都是人工进行代码的安全审计与木马检查，下载了客户代码到本地电脑里进行操作，包括了APP的网站访问日志，以及APP的Android端+IOS端文件也下载了一份到手机里。我们在检测到客户APP里的充值功能这里存在SQL注入漏洞，因为本身网站选择的是thinkphp框架二次开发的，程序员在写功能的时候未对充值金额的数值进行安全判断，导致可以远程插入恶意的SQL注入代码到服务器后端进行操作，SQL注入漏洞可以查询数据库里的任何内容，也可以写入，更改，通过配合日志的查询，我们发现该黑客直接读取了APP后台的管理员账号密码，客户使用的后台地址用的是二级域名，开头是admin.XXXXX.com，导致攻击者直接登录后台。我们在后台的日志也找到黑客的登录访问后台的日志，通过溯源追踪，黑客的IP是菲律宾的，还发现后台存在文件上传功能，该功能的代码我们SINE安全对其做了详细的人工代码安全审计与漏洞检测，发现可以上传任意文件格式漏洞，包括可以上传PHP脚本木马。
攻击者进一步的上传了已预谋好的webshell文件，对APP里的网站数据库配置文件进行了查看，利用APP前端服务器的权限去连接了另外一台数据库服务器，导致数据库里的内容全部被黑客打包导出，此次安全事件的根源问题才得以明了，我们SINE安全技术继续对该金融客户的APP网站代码进行审计，总共发现4处漏洞，1，SQL注入漏洞，2，后台文件上传漏洞。3，XSS跨站漏洞,4，越权查看其它用户的银行卡信息漏洞。以及APP前端里共人工审计出6个网站木马后门文件，包含了PHP大马，PHP一句话木马，PHP加密，PHP远程调用下载功能的代码，mysql数据库连接代码，EVAL免杀马等等。
我们SINE安全对SQL注入漏洞进行了修复，对get,post,cookies方式提交的参数值进行了安全过滤与效验，限制恶意SQL注入代码的输入，对文件上传漏洞进行修复，限制文件上传的格式，以及后缀名，并做了文件格式白名单机制。对XSS跨站代码做了转义，像经常用到的<>script 等等的攻击字符做了拦截与转义功能，当遇到以上恶意字符的时候自动转义与拦截，防止前端提交到后台中去。对越权漏洞进行银行卡查看的漏洞做了当前账户权限所属判断，不允许跨层级的查看任意银行卡信息，只能查看所属账户下的银行卡内容。对检测出来的木马后门文件进行了隔离与强制删除，并对网站安全进行了防篡改部署，以及文件夹安全部署，服务器底层的安全设置，端口安全策略，等等的一系列安全防护措施。
至此客户APP渗透测试中发现的网站漏洞都已被我们SINE安全修复，并做了安全防护加固，用户信息泄露的问题得以解决，问题既然发生了就得找到漏洞根源，对网站日志进行溯源追踪，网站漏洞进行安全测试，代码进行安全审计，全方面的入手才能找出问题所在，如果您的APP也被攻击存在漏洞，不知道该如何解决，修复漏洞，可以找专业的网站安全渗透测试公司来解决，国内SINESAFE，鹰盾安全，绿盟，启明星辰，深信服都是比较专业的、也由衷的希望我们此次的安全处理过的分享能够帮到更多的人，网络安全了，我们才能放心的去运营APP。
如何查找APP漏洞并渗透测试 解决网站被黑客攻击相关推荐
- 如何解决网站被黑客攻击-深夜一次网站被攻击瘫痪
情况:客户网站深夜被黑客攻击,服务器对外发出大量攻击行为流量,运维人员已经不可登录服务器进行安全操作: 1首先看能不能后台登录经网站管理界面,如果可以的话那就去查看相关日志,确定黑客攻击的范围 一定要 ...
- kail利用msf工具对MS12-020漏洞进行渗透测试
kail利用msf工具对MS12-020漏洞进行渗透测试 MS12-020全称Microsoft Windows远程桌面协议RDP远程代码执行漏洞 kail利用msf工具对MS12-020漏洞进行渗透 ...
- 针对HFS 2.3漏洞进行渗透测试提权（HFS：HttpFileServer）
利用Metasploit对HFS 2.3渗透攻击提权 针对HFS 2.3漏洞进行渗透测试提权(HFS:HttpFileServer) msf6 > search hfs Matching Mod ...
- 网络安全系列-I: 基本概念之事件型漏洞、通用型漏洞、渗透测试
事件型漏洞和通用型漏洞的区别 一句话区别:如果你提交华为官网的漏洞严格意义上是非法的,因为这涉及未授权扫描:但是你针对你自己购买并部署在本地的华为设备或系统做漏洞扫描.渗透测试是没有问题的,因为你攻击 ...
- Kali渗透测试：使用工具Metasploit攻击操作系统
Kali渗透测试:使用工具Metasploit攻击操作系统 如果在目标系统上发现了漏洞之后,接下来就是要利用漏洞渗透工具对目标系统进行攻击.Metasploit是目前非常优秀的一款漏洞渗透工具. 1. ...
- web渗透测试学习网站
web渗透测试学习网站 信息收集好站 雨从 : 渗透工具 安全圈: OSSA: 洞悉漏洞: 7tools 师傅们: mircro8: panda: smile: landgrey: ajay13 90 ...
- 渗透测试入门3之隐匿攻击
渗透测试入门3之隐匿攻击 1. Command and Control ICMP :https://pentestlab.blog/2017/07/28/command-and-control-icm ...
- Python渗透测试编程技术--------身份认证攻击（一）
Python渗透测试编程技术 身份认证攻击 目前最为常见的身份验证模式采用的仍然是"用户名+密码"的方式,用户自行设定密码在登录时如果输入正确的密码,计算机就会认为操作者是合法用户 ...
- php网站后门漏洞检测 渗透测试木马解决
很多想做渗透测试的朋友都想了解关于PHP后门漏洞的安全测试重点方法,以及该如何预防被中php后门,本节由我们的Sine安全高级渗透工程师进行全面的讲解,来让大家更好的理解和了解php代码的安全检测,让 ...
最新文章
- 基于python的界面自动化测试-基于 Python 的接口自动化测试实例
- wenbao与windows命令
- NHibenate 一些自带增删改查
- POJ 3481 Double Queue
- WEB框架研究笔记六（Spring WEB)
- BZOJ-2463 谁能赢呢？
- Ivanti罗琦：IT服务管理中“拧紧螺丝”要有门道儿！
- mysql pdo 插入没效果_MySQL分库分表后用PHP如何来完美操作
- phantomjs debian不显示中文_Python 爬虫：Seleniumamp;PhantomJS 实例（一）
- 易语言-MD5加密16位和32位方法
- cvAddWeighted 进行图片融合
- 解决2种jni加载错误
- html文件恢复工具,小飞文件恢复工具
- 详解AVL树（平衡二叉树）
- 我的VSTO之路(五)：Outlook初步开发之联系人扩展
- 要坚信自己可以变成白天鹅的事实
- pytorch torchvision.datasets
- jz2440---使用uboot烧录程序
- 预防甲型流感病毒的注意事项和方法
- 虚拟机使用adb连接板子