网站漏洞整改报告

按照国家《中华人民共和国计算机信息系统安全保护条例》、《计算机信息网络国际联网安全保护管理办法》、《互联网安全保护技术措施规定》等有关法律法规规定，全面落实互联网安全保护制度和安全保护技术措施，对网站、信息安全进行了严格漏洞安全检查工作。

本次网站安全检查是完全站在攻击者角度，模拟黑客可能使用的攻击技术和漏洞发现技术进行的安全性测试，通过结合多方面的攻击技术进行测试，发现本校个别网站系统存在比较明显的可利用的安全漏洞，针对已存在漏洞的系统需要进行重点加固。本次检查结果和处理方案如下:

通过本次网站安全检查，发现使用学校统一的站群做的网站都没有问题，发现问题的都是各部门自建的网站，以后要加强安全管理宣传，自建网站逐步过渡到统一的站群管理系统以方便安全管理。进一步规范管理，加强检查。不断完善细化信息公开内容，增加发布信息量，提高数据的及时性、准确性，增强服务意识，推动各项工作健康有序发展。

…… …… 余下全文

首先是X-Scan自动生成的检测报告，我的网段为202.114.4.0—202.114.7.255

其中重要漏洞我用红色做了标志

------------------

以下列出我通过手动攻击尝试的漏洞过程：

1. 202.114.6.66的139端口漏洞，通过nbstat –A 202.114.6.66查看共享主机列表，通过net

view \\主机名（此处为F309-INSPUR）查看共享用户列表，通过net use X：\\主机名（此处为F309-INSPUR）\用户名（此处为X-scan扫描出的弱口令用户名，包含在net view列表中）输入用户名及口令即可将远程服务器映射到本地X盘，经过观察上面文件，此服务器为冯丹实验室服务器，含有大量个人资料（在每个个人文件夹内）以及内部公共资料。

2. 202.114.4.42 的25端口smtp漏洞，可以通过snmputil此软件查看服务器信息，进程，

安装程序，用户列表等。

3. 202.114.6.76的139端口漏洞，用与1相同方法，映射服务器后发现并无重要信息，服

务器所属也不容易判断。

4. 202.114.6.17的139端口漏洞，攻击方法和结果同3。

5. 202.114.4.36的990端口漏洞，据X-scan提示为重大漏洞，可以以某种方式取得shell

权限，但我未能正确利用。

远程主机好像使用一个比0.9.6e或者0.9.7 beta3 老的OpenSSL的版本.

这个版本是存在缓冲区溢出漏洞的,

可能允许攻击者在主机上获得shell.

解决方案 : 升级到 0.9.6 版 e(0.9.7beta3) 或最新

风险等级 : 高

6. 202.114.4.36的SQL注入漏洞，通过JSky可以扫描出多个注入点，通过pangolin自动注

入可以全面获取人事处数据库的一切信息，包括大量敏感信息如admin账号密码，内部人员名单及家庭信息等等。不过并未找到admin的登陆位置，估计不是登陆页面形式。

…… …… 余下全文

安全整改报告

整改情况

1. 相关单位收到加固通知后，对IP地址进行确认，存在漏洞的地址均为集团客户MAS机服务器地址。

2. 相关单位维护人员到集团客户现场对所有MAS设备进行了检查并对相应的设备安装了Apache Struts漏洞补丁，并将整改结果反馈至省公司。

3. 经验证，所有MAS设备已完成加固，漏洞修补完毕。

三、反思及下一步工作

（一）反思

1. 业务系统上线前，并没有做到有效地安全加固工作。

2. 集团客户安全意识薄弱，MAS机加固工作存在一定难度。

（二）下一步工作

1． 加强对MAS服务器安全的管理，每月使用扫描工具对所有MAS进行日常扫描监控，同时对新增MAS服务器做好检查并安装好补丁。

2. 对于新增MAS，做好完整的安全加固工作。后续每月对每一台服务器做好检查并安装好补丁，把安全问题降到最低。

1

2

…… …… 余下全文

xx网站安全漏洞检查报告

有限公司

目录：

1       工作描述... 3

2       安全评估方式... 3

3       安全评估的必要性... 3

4       安全评估方法... 4

4.1        信息收集... 4

4.2        权限提升... 4

4.3        溢出测试... 5

4.4        SQL注入攻击... 5

4.5        检测页面隐藏字段... 5

4.6        跨站攻击... 5

4.7        第三方软件误配置... 5

4.8        Cookie利用... 6

4.9        后门程序检查... 6

4.10          其他测试... 6

…… …… 余下全文

网站安全整改报告

收到教育局中心机房发来的网站安全漏洞检测报告，对被检测的域名地址进行确认，我校主要近阶段处在新旧网站交替时期，旧网站还没有退役，新网站也已上线。被检测的存在漏洞的地址为我校原网站域名地址。我校安全领导小组马上召开了紧急会议。经会议商讨决定，作出以下几点整改措失：

1.关闭旧网站；

2.加固原网站服务器及其他内部服务器，对服务器进进漏洞扫瞄，系统漏洞修补完毕；

3.对于新网站，此次虽然未进行检测，但从兄弟学校的网站检测报告来看（同开发单位），应该存在漏洞。会后马上联系开发单位进行检测整改。

反思及下一步工作

（一）反思

1. 网站开发时，只考虑了网站的功能使用，没有考虑网站安全问题。

2.学校自己技术力量薄弱，对安全检测有一定难度。

（二）下一步工作

1． 加强对服务器安全的管理，每月使用扫描工具对所有服务器进行日常扫描监控，并安装好补丁。

2015/12/05

1

…… …… 余下全文

20xx年数据库漏洞威胁报告

互联网就像空气，彻底的融入我们的生活之中。因此我们愈发习惯把越来越多的数据保存在网上以换取更便捷的服务。不过，随之而来的安全事件无不让人触目惊心。

回忆20xx年整年发生的数据泄露事件，20xx年一月机锋论坛包括用户名、邮箱、加密密码的2300万用户信息泄漏。随后国内10多家酒店大量客户开房信息泄漏、中国广东人寿10W保单泄漏、大麦网600万用户信息和网易邮箱过亿用户信息泄漏??一连串的信息泄漏事件无不令人提心吊胆。覆巢之下安有完卵，就连一直以安全著称的瑞士银行在互联网的世界也难逃被黑客入侵的噩梦。

数据库漏洞研究起源

大数据时代的来临，各个行业数据量成 BT 级增长。 数据库被广泛使用在各种新的场景中，在某些场景下面临的安全威胁是数据库现有安全机制无法防护的。可以看到的是：数据库的优良性能和落后的安全机制成为鲜明的对比。

虽然数据库安全设计最初是按照美国国防部的标准制定而成，不过那些安全标准与现实安全的意义有着很大的差别。纵然大部分商用数据库都通过了安全标准检验，但随着功能的开发和部署在危险的网络环境中，安全短板就成为其“阿喀琉斯之踵”。

19xx年开始数据库安全进入安全团队视野，同年4月份Oracle被披露出第一个安全漏洞开始，随着新版本和新功能的出现漏洞呈震荡增长趋势。20xx年当年被披露的各大数据库漏洞高达129个。

图 1.1 2011-2015主流数据库漏洞数量

今年截止到2015 年12 月份初被确认数据库漏洞一共 76个，比20xx年下降了 53 个，减幅达到41%。这与各大数据库公司开发自己的代码审计工具有着密不可分的联系。 20xx年漏洞分布

图 1.2 20xx年数据库漏洞分布

今年曝出的76个数据库漏洞中，MySQL漏洞数占据全年漏洞总数的62%，共计47个。漏洞主要集中在5.5 和5.6 这两个主流版本中。

…… …… 余下全文

制度漏洞评估分析报告

制度漏洞评估分析报告

根据《国土资源系统开展反腐倡廉制度建设年活动实施方案》的通知要求，我局对查找出的权力关键点、权力运行的风险点及制度漏洞，开展评估分析工作，现将有关情况汇报如下：

一、以工作重点领域为依托，查找权力的关键点、权力运行的风险点

我局围绕《国土资源系统反腐倡廉制度建设年活动实施方案》的要求，通过多种形式、多种渠道、广泛征求机关内部、人大代表、服务对象等方面对我单位工作重点领域的建议和意见，并进行梳理，主要是在用人权、审批（预审）权、处罚权、监督权等方面腐败现象和不正之风易发多发，主要表现在：

1、领导岗位'三重一大'即重大事项决策、重要人事任免、重大项目安排和大额资金使用及分管工作等方面存在的廉政和履职风险及问题，产生权力的关键点；

2、用人机制不够健全，工作岗位缺乏流动性，重要岗位长期由同一人任职，极易造成各种问题的发生，产生权力的关键点；

3、利用土地利用总体规划调整，为用地单位将土地调整为其期望状态，产生权力运行风险点；

4、土地审批（预审）过程中，从中捞取不义之财，产生权力运行风险点；

5、是用地单位不按规定缴纳相关费用，不履行追缴义务，造成国有资产流失，产生权力运行风险点；

6、是土地执法环节中，在测量违法用地面积上，随意减少违法用地面积，产生权力运行风险点；

7、是违法用地处罚自由裁量权的行使，随意性大，产生权力运行风险点；

8、征地补偿环节中，对补偿费的发放监督不力，产生权力运行风险点。

二、统筹安排，查找权力运行制度漏洞

权力运行制度漏洞查找坚持清理与审查相结合。对反腐倡廉23项制度进行了全面清理和审查，重点围绕'两权'运行和领导干部廉洁从政相关制度进行清理审查，按照'分权制衡、监督制约、公开透明'，提出'立、改、废'意见，对不适应工作需要的制度进行修订和完善，对过于原则、不便操作的进一步细化，下一步将对《**区国土资源局重大事项民主决策制度》、《**区国土资源局集体会审制度》、、《**区国土资源局会议、

…… …… 余下全文