网站漏洞处理经验总结

1、服务器端禁止使用RC4加密算法。
2、客户端应在浏览器TLS配置中禁止RC4。

具体到apache服务器配置上，应该打开配置文件

$ sudo vi /etc/httpd/conf.d/ssl.conf

修改配置后重启apache

SSLCipherSuite
HIGH:MEDIUM:!aNULL:!MD5;!RC4
$ sudo /etc/init.d/httpd restart

• 定义允许的内容。确保web应用对所有输入参数（cookies、头、查询字符串、表单、隐藏字段等）验证严格定义的预期结果。
• 检查POST和GET请求的响应，确保返回内容是预期的且有效。
• 通过编码用户提供的数据从用户输入中删除冲突字符、括号、单双引号。这可以防范以可执行的方式向终端用户发送注入的脚本。
• 如果必须允许站点用户使用HTML标签，如允许用户使用的格式化标签的公告栏，则应限制可使用的标签。创建可接受标签的列表，如粗体字、斜体字或下划线，并仅允许使用这些，拒绝任何其他标签。以下是一些可帮助检测跨站脚本的正则表达式。

简单跨站脚本攻击的正则表达式：
/((\%3C)|<)((\%2F)|\/)*[a-z0-9\%]+((\%3E)|>)/ix

1. 构造URL：
2. http://IP地址/index.php/article/c37.html?'%20onmouseover=dfbhmg(6464)%20 ；
3. 设置参数 为 '%20onmouseover=dfbhmg(6464)%20 ；
4. 在响应头及响应内容中匹配： onmouseover.*?dfbhmg(6464) 。
5. 如果浏览器能够执行注入代码，则认为存在该漏洞。

很多WEB应用中都存在SQL注入漏洞。SQL注入是一种攻击者利用代码缺陷进行攻击的方式，可在任何能够影响数据库查询的应用程序参数中利用。例如url本身的参数、post数据或cookie值。

正常的SQL注入攻击很大程度上取决于攻击者使用从错误消息所获得信息。但是，即使没有显示错误消息应用程序仍可能受SQL注入的影响。

总体上讲，SQL注入是对web应用而不是对web服务器或操作系统本身的攻击。正如其名称所示，SQL注入是对查询添加非预期SQL命令从而以数据库管理员或开发人员非预期的方式操控数据库的行为。如果成功的话，就可以获得、修改、注入或删除有漏洞web应用所使用数据库服务器的数据。在某些环境下，可利用SQL注入完全控制系统。

参数化查询：COOKIE注入源于攻击者控制查询数据以修改查询逻辑，因此防范SQL注入攻击的最佳方式就是将查询的逻辑与其数据分隔，这可以防止执行从用户输入所注入的命令。这种方式的缺陷是可能对性能产生影响（但影响很小），且必须以这种方式构建站点上的每个查询才能完全有效。只要无意中绕过了一个查询，就足以导致应用受COOKIE注入的影响。以下代码显示的是可以进行COOKIE注入的COOKIE语句示例:
$name=$_COOKIE['name'];
$sql="select * from tables where name='$name'";
下面的例子使用了参数化的查询，不受SQL注入攻击的影响
$name=$_COOKIE['name'];
$mysqli=new mysqli("localhost", "user", "pass", "database");
$stmt=$mysqli->prepare("select * from tables where name=?");
$stmt->bind_param("s", $name);
$stmt->execute();

验证输入：可通过正确验证用户输入的类型和格式防范大多数SQL注入攻击，最佳方式是通过白名单，定义方法为对于相关的字段只接受特定的帐号号码或帐号类型，或对于其他仅接受英文字母表的整数或字母。很多开发人员都试图使用黑名单字符或转义的方式验证输入。总体上讲，这种方式通过在恶意数据前添加转义字符来拒绝已知的恶意数据，如单引号，这样之后的项就可以用作文字值。这种方式没有白名单有效，因为不可能事先知道所有形式的恶意数据。 过滤sql字符的正则表达式罗列如下：

• 删除SQL元字符的正则表达式：/(\%27)|(\')|(\-\-)|(\%23)|(#)/ix
• 传统SQL注入攻击的正则表达式：/\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix
• 删除有UNION关键字的SQL注入攻击的正则表达式：/((\%27)|(\'))union/ix(\%27)|(\')
• 可为其他的SQL查询（如select、insert、update、delete、drop等）编写类似的正则表达式。
• 在MS SQL服务器上检测SQL注入攻击的正则表达式：/exec(\s|\+)+(s|x)p\w+/ix