滲透測試是對網(wǎng)站和服務(wù)器的安全測試，通過模擬攻擊的手法，切近實戰(zhàn)，提前檢查網(wǎng)站的漏洞，然后進行評估形成安全報告。這種安全測試也被成為黑箱測試，類似于的“實戰(zhàn)演習”，即沒有網(wǎng)站代碼和服務(wù)器權(quán)限的情況下，從公開訪問的外部進行安全滲透。 我們擁有國內(nèi)的滲透安全團隊，從業(yè)信息安全十年，有著未公開的漏洞信息庫，大型社工庫，透過滲透測試找到網(wǎng)站和服務(wù)器的漏洞所在，從而確保網(wǎng)站的安全、服務(wù)器安全的穩(wěn)定運行。
管理內(nèi)部人員威脅
很多公司都意識到，員工滿懷怨恨地離開或被競爭對手招募時，就會產(chǎn)生內(nèi)部人威脅風險：他們可能會利用手中的網(wǎng)絡(luò)訪問權(quán)加以，或為新雇主有用數(shù)據(jù)。撤銷該員工的訪問憑證應(yīng)成為降低此類風險的首要動作。
不過，還有個不太明顯但同樣危險的時刻，那就是新員工入職的時候。人力資源部門當然會對員工履歷做盡職調(diào)查，但他們未必會注意到該員工的所有關(guān)系或動機。業(yè)務(wù)風險情報可提供此類信息，防止惡意人員進入公司。幾年前有家財富 500 強公司就遭遇了此類風險。當時一名擬錄用的員工被發(fā)現(xiàn)與招募內(nèi)部人企業(yè)數(shù)據(jù)以作勒索的罪犯有聯(lián)系。一旦注意到該威脅，企業(yè)便可拒絕相關(guān)人士入職，并強化針對此類攻擊模式的安全防御。
新產(chǎn)品發(fā)布時也是公司的高風險期。知識產(chǎn)權(quán)代表著公司 80% 的價值，所以知識產(chǎn)權(quán)失可能招致災(zāi)難性后果。公司雇員自然擁有公司商業(yè)秘密和產(chǎn)品信息訪問權(quán)，少數(shù)情況下，這種會誘人犯罪。但真要有員工起了壞心了公司知識產(chǎn)權(quán)，他們還需要找到的渠道，而這往往涉及 DDW 或其他買賣被盜資產(chǎn)的非法在線社區(qū)。
近的案例中，F(xiàn)lashpoint 分析師在某網(wǎng)絡(luò)犯罪論壇上看到某跨國科技公司尚未發(fā)布的軟件源代碼遭掛牌出售。分析確認該源代碼泄露的源頭就是該公司一名雇員，而接到通告后，該公司得以終止與該流氓雇員的合約，并采取補救措施保護了那款產(chǎn)品。其中關(guān)鍵在于，若非網(wǎng)絡(luò)罪犯在 DDW 上為該來路不正的軟件打出售賣廣告，這名流氓雇員確實成功繞過了內(nèi)部檢測。在業(yè)務(wù)風險情報提供的上下文幫助下，很多雇員當時看似無害的行為無疑可從另一個不同角度解讀。

thinkphp在國內(nèi)來說，很多站長以及平臺使用這套開源的系統(tǒng)來建站，為什么會這么深受大家的喜歡，開源，便捷，，生成靜態(tài)化html，第二框架性的易于開hp架構(gòu)，很多第三方的插件以及第三方的開發(fā)公司較多，模板可以自定義設(shè)計，在thinkphp的基礎(chǔ)上可以開發(fā)很多大型的虛擬游戲平臺，以及會員平臺，商城系統(tǒng)，thinkPHP的在系統(tǒng)升級方面做的比較完善，及時更新與修復(fù)一些BUG。
目前新版本是ThinkPHP5.0.20版本，之前的ThinkPHP2.2，ThinkPHP2.1、ThinkPHP都存在過網(wǎng)站漏洞，包括一些高危的遠程代碼執(zhí)行漏洞，thinkphpsql注入漏洞，后臺管理員XSS跨站漏洞，任意文檔上傳漏洞等等。目前我們SINE安全于2018年9月5號，在日常的thinkphp網(wǎng)站安全檢測當中，發(fā)現(xiàn)某客戶使用的thinkphp系統(tǒng)存在著網(wǎng)站sql注入漏洞，危害性較高，一開始以為客戶使用的是較低版本：thinkphp2.3，才會存在這種網(wǎng)站漏洞，但是在實際的安全檢測當中發(fā)現(xiàn)不僅僅是這個版本，還包含了目前新版本5.0.20，關(guān)于該網(wǎng)站漏洞的詳情與poc利用，我們一步一步來分析。

應(yīng)用系統(tǒng)軟件自身的安全性是確保應(yīng)用系統(tǒng)安全穩(wěn)定運行的關(guān)鍵。但通常應(yīng)用系統(tǒng)在開發(fā)的過程中會引入安全缺陷而造成應(yīng)用系統(tǒng)自身存在安全漏洞，如被外部威脅所利用會產(chǎn)生安全風險，造成不良的安全影響。需要通過采用應(yīng)用系統(tǒng)源代碼安全審計的方式，從源代碼層面來減少和降低開發(fā)過程中的安全缺陷和安全漏洞。因此，通過開展應(yīng)用系統(tǒng)源代碼審計工作，減少客戶應(yīng)用系統(tǒng)的安全漏洞和缺陷隱患，有效降低客戶應(yīng)用系統(tǒng)安全風險，**應(yīng)用系統(tǒng)安全穩(wěn)定運行。
奇安信網(wǎng)神源代碼審計服務(wù)的實施過程包括前期準備、代碼審查、出具報告、協(xié)助整改和回歸審計（復(fù)查）幾個階段。

清理攻擊者
如果不幸還是被攻擊者入侵服務(wù)器，那么用戶需要時間查找不正常IP，將攻擊者清除，并鎖定與服務(wù)器，對文件進行掃描，關(guān)閉后門等方式及時修復(fù)服務(wù)器。
Sine陳技術(shù)  人也隨和直爽，昨晚還熬夜主動幫解決服務(wù)器問題，很感動！這么熱情務(wù)實有擔當?shù)母呤终骐y得，可以成為的朋友！——向Sinesafe致敬！
http://www.agrivod.com