國內(nèi)頂級安全團(tuán)隊(duì)80sec于5.20日下午6點(diǎn)發(fā)布了一個關(guān)于nginx的漏洞通告,由于該漏洞的存在,使用nginx+php組建的網(wǎng)站只要允許上傳圖片就可能被黑客入侵,直到5.21日凌晨,nginx尚未發(fā)布修復(fù)該漏洞的補(bǔ)丁;已經(jīng)有一些網(wǎng)站被黑了,管理員速修復(fù)!
沒錯,重申一次,由于nginx有漏洞,這100萬臺服務(wù)器可能通過上傳圖片的方法被黑客輕易的植入木馬。植入木馬的過程也非常簡單,就是把木馬改成圖片上傳就是了,由于危害非常大,就不說細(xì)節(jié)了。
說了那么多,我想大家對80sec這個頂級安全團(tuán)隊(duì)比較好奇吧,素包子簡單介紹一下。
80sec團(tuán)隊(duì)由一群年輕、充滿活力、充滿體力、充滿激情、富有創(chuàng)造力的未婚dota男組成,他們均在各大互聯(lián)網(wǎng)公司從事信息安全工作,他們的口號是know it then hack it,素包子非常認(rèn)同這個觀點(diǎn):“我們只要非常熟悉一個事物,就有可能客觀的發(fā)現(xiàn)它的不足之處,同時我們也能的發(fā)現(xiàn)該事物的優(yōu)點(diǎn)”。
80sec的意思是“80端口的安全”,也就是“web安全”;同時由于該團(tuán)隊(duì)成員都是80后的年輕人,我們也可以理解為“80后安全”;另外由于sec的發(fā)音是se ke,我們還可以理解為“80后色客”、“80后攝客”或“80后S客”,我們對80sec的理解僅受限于想象力。
下面介紹一下他們的豐功偉績,他們曾發(fā)現(xiàn)IIS、IE、FireFox、Maxthon、世界之窗、PHPWind、DeDeCMS、QQ mail、QuarkMail、EXTMail等軟件的漏洞,可見碩果累累。
既然介紹了80sec,就不得不介紹另外一個非常專注WEB安全的頂級安全團(tuán)隊(duì)80vul,該團(tuán)隊(duì)同樣也是由80后的男童鞋組成(90后表示壓力很大:p),他們也發(fā)現(xiàn)了大量WEB APP的安全漏洞,例如IE、Gmail、wordpress、PHPWind、DISCUZ、MYBB等。
看到這里,想必大家心里都有那么點(diǎn)遺憾,那就是為何沒有80后女黑客(我不歧視偽娘,但我必須說明不是偽娘),我也有相同的遺憾。
最后發(fā)一個小道消息,據(jù)說黑客已經(jīng)在行動了;安全人員、系統(tǒng)管理人員、行動起來吧,趕緊修復(fù)該漏洞;最好不要有僥幸心理,否則下一個被黑客入侵的可能就是你的網(wǎng)站。根據(jù)80sec安全公告的描述,臨時修復(fù)方法如下,可3選其一。
1、設(shè)置php.ini的cgi.fix_pathinfo為0,重啟php。最方便,但修改設(shè)置的影響需要自己評估。
2、給nginx的vhost配置添加如下內(nèi)容,重啟nginx。vhost較少的情況下也很方便。
if ( $fastcgi_script_name ~ ..*/.*php ) {
return 403;
}
3、禁止上傳目錄解釋PHP程序。不需要動webserver,如果vhost和服務(wù)器較多,短期內(nèi)難度急劇上升;建議在vhost和服務(wù)器較少的情況下采用。
綜合報(bào)道 經(jīng)濟(jì)形勢 勞動就業(yè) 政策法規(guī) 熱點(diǎn)推薦 創(chuàng)業(yè)新聞 創(chuàng)業(yè)指導(dǎo) 創(chuàng)業(yè)課堂 創(chuàng)業(yè)故事 大學(xué)生創(chuàng)業(yè) | 裝修日記 | 學(xué)駕駛經(jīng)歷 | 免費(fèi)信息發(fā)布 | 網(wǎng)站地圖
地址:合肥市臨泉路香格里拉花園 郵箱:pc354@163.com QQ:55769640 | 皖I(lǐng)CP備06007228號
版權(quán)所有:科杰服務(wù)(www.www.yeewaa.com) 建議使用IE7.0或以上版本,最少1280分辨率瀏覽本站,可獲得最佳瀏覽效果