【路人系列】国内企业站点CMS漏洞解析

现在越来越多的中小企业都加入到电子商务浪潮中，企业在网络中建立了展示销售平台，在由网络带来便利的同时，也带来了网络的另一面——网络信息安全。

一、国内网站制作的现状



目前，我们经常在网络上看到800元建站、500元建站之类的广告，在外行人看来，800元建立的网站和我花4000元建立的网站好像没多大的区别，但内行人一看就知道其中存在的猫腻，一个网站从开始策划立项到最后的测试上线，花的时间至少也要半个月。加上其中的美工设计，后台的程序编写，程序功能测试，到最后的完成上线，所花费的人力物力又是多少昵？如果按照一个网站800元计算，不算域名和空间费，一个月开发两个网站，也就是1600元，这样下来，我们的网页设计制作人员只能喝西北风了。



于是，为了节约成本，程序那部分也就省了吧，反正网络上到处都有源码下载，至于美工，看得过去就行了吧，反正网络的资源都共享，改几个字又可以忽悠一个客户。800元？不，800元不收你的，500元就可以。什么？网络安全？只要客户将钱交完了，谁爱黑就去黑吧。作为我们的企业客户，看到自己企业的网站上线，似乎就以为自己进入到电子商务时代了，到网站出了问题的时候，当初说客户就是上帝的设计师，现在反而变成上帝了，这样的事情在我们身边并不少见，下面我以一些案例去说明。



我们来到某个国内著名的设计网站，可以看到有很多制作得非常棒的站点，大多以FLASH站和ASP为主，可以说是精晶中的精品。但我们现在不是要寻找灵感，而是要测试它们的安全性，随便点击一个进去。



我们知道在大多数的企业网站底部都可以找到网站的设计者的链接，我们点链接来看下——厦门某科技有限公司。进入到官方主页来看对方的案例，发现都是美工极佳的酷站，如果在安全方面也没什么大问题的话，那可绝对就属精品中的精品了，我们在检测之前先对其案例进行大概的浏览，发现后台登录地址都是一样的，都是/admidlogin.asp这样的链接。





二、对企业的提醒与建议



目前的设计公司大多都有自己进行开发的网站系统，将企业网站常用的一些模块写好后，再根据客户的需求对网站进行整合，这样的做法节约了开发时间，降低了成本，为整个网络的发展起到了一定的促进作用，但是企业网站的安全是否能得到保障呢？



企业客户大多都是普通的网络使用者，对于安全的知识是非常缺乏的，更何况涉及到程序语言的安全，或许有人会这样认为，小企业网站一个，谁爱黑就黑去，也没什么损失，但是要知道，一个网站就是一个企业的面子，难道你的脸总喜欢被人在上面乱画东西吗？



我曾经做过这样的测试，将一公司的站点入侵后，对其代码进行大概浏览，知道其程序的BUG后，去网站的设计公司查看其它案例，发现80%都有同样的问题。于是，不到一个小时的时间就拿到了20多个网站的SHELL，其中不乏国内的知名企业。



本文的意义并不在于讨论入侵本身的技术，只在于提醒那些企业网站的建设者们，增强安全意识，不要因为把网站的制作外包给一些设计公司，就可以高枕无忧了。