怎么批量检测端口连通性、端口是否开放 - 操作系统当前位置:& &&&怎么批量检测端口连通性、端口是否开放怎么批量检测端口连通性、端口是否开放&&网友分享于：&&浏览：506次如何批量检测端口连通性、端口是否开放
检测端口还在用telnet？太落伍把
有没有批量检测的方法？有的。我们用nc就可以快速检测端口的开放性。
nc检测端口的用法
-z表示检测或者扫描端口-w表示超时时间-u表示使用UDP协议
[@ ~]# nc -z -w 10 -u 8.8.8.8 53
Connection to 8.8.8.8 53 port [udp/domain] succeeded!
[@ ~]# nc -z -w 10 8.8.8.8 53
Connection to 8.8.8.8 53 port [tcp/domain] succeeded!
[@ ~]# echo $?
[@ ~]# nc -z -w 10 8.8.8.7 53
[@ ~]# echo $?
端口成功联通返回值是0，提示succeeded；否则返回1，不提示任何数据
假如我们有这样一堆IP和端口。
#cat ports
119.181.69.96 8080
119.181.118.38 8000
119.181.20.18 8080
119.181.69.37 8080
我们可以写这样一个脚本来批量检测端口是否开放：
cat tetsport
while read line
nc -z -w 10 $line & /dev/null 2&&1
if [ $? -eq 0 ]
echo $line:ok
echo $line:fail
好了，我们的运行结果如下：
119.181.69.96 8080:ok
119.181.118.38 8000:ok
119.181.20.18 8080:fail
119.181.69.37 8080:ok
12345678910
12345678910
12345678910 上一篇：下一篇：文章评论相关解决方案 12345678910 Copyright & &&版权所有论文:网络安全漏洞的检测工具AccessDiver-中大网校论文网详解常见漏洞扫描器及网络扫描技术
详解常见漏洞扫描器及网络扫描技术
详解常见漏洞扫描器及网络扫描技术
作者：冰盾防火墙　网站：　日期：
随着互联网的飞速发展,网络安全逐渐成为一个潜在的巨大问题，如何保障自身网络的安全，其中一个主要的方法就是自查自纠，而在这个过程中，对自己的网络进行扫描成为一种较为快捷、直观、简单的方法。扫描技术基于TCP/IP协议，对各种网络服务，无论是主机或者防火墙、路由器都适用。同时， 扫描可以确认各种配置的正确性，避免遭受不必要的攻击。网络扫描是一把双刃剑，对于安全管理员来说，可以用来确保自己系统的安全性，也能被黑客用来查找系统的入侵点。目前，扫描的技术已经非常成熟，已经有大量的商业、非商业的扫描器在各组织里使用。
扫描器的重要性体现在：
扫描器能够暴露网络上潜在的脆弱性。
无论扫描器被管理员利用，或者被黑客利用，都有助于加强系统的安全性。
它能使得漏洞被及早发现，而漏洞迟早会被发现的。
扫描器可以满足很多人的好奇心。
扫描器除了能扫描端口，往往还能够：发现系统存活情况，以及哪些服务在运行；
用已知的漏洞测试这些系统；
对一批机器进行测试，简单的迭代过程；
有进一步的功能，包括操作系统辨识、应用系统识别。
一.&&常见漏洞扫描器类型
1.1& 端口扫描器
Nmap被称为扫描器之王。这种类型扫描器很容易引起误解，很多人认为对于nmap这种port scaner，功能仅限于扫描端口，这实际上是一个很大的误区，如果我们看一下它的功能，就会发现功能还是非常广泛的，包括操作系统的服务判定、操作系统指纹的判定、防火墙及IDS的规避技术。Nmap从技术角度来说是非常出色的，并且可以完成大范围的早期评估工作。实际上nmap的端口扫描的不管是主机开放端口、服务、操作系统版本，它的大部分依据都来自于端口扫描的结果，根据其结果去判定其他信息。所以，认为nmap只能扫描端口是一个误区。
1.2& 漏洞扫描器
以nessus为免费产品代表，nessus的安装应用程序、脚本语言都是公开的，但从版本3开始它就转向一个私有的授权协议，其扫描引擎仍然免费，不过对其支持和最新的漏洞定义要收费，不过收费是有时间限制的，如果不想付钱的话，可以等待15天，15天之后，其大部分插件都将是免费插件。Nessus目前最新版本到了3.2。这种扫描器不仅可以检查系统漏洞，还可以检查一部分的配置失误。
1.3& WEB应用扫描器
这类扫描器相对而言，做的比较专，仅用于评估网站的安全性，对于系统、网络的基础情况一般不关注，关注的焦点主要是WEB应用。常见的有appscan、webinspect。主要检测WEB应用数据提交、信息泄露等问题。
二.& 商业扫描器特点
基本上大部分商业扫描器都工作在黑盒模式，在这种模式下无法看到源代码，以一个近似于渗透者或攻击者的身份去看待需要评估的系统。这种扫描器特点有：
2.1& 漏洞精确扫描
由于在商业化应用中，对误报、漏报的容忍程度比较低。但目前的情况，误报和漏报还是无法规避的。具体扫描的信息有：
状态扫描：即其开放的服务、通信的情况、OS版本、应用服务的版本。
漏洞扫描（验证）：验证当前系统是否存在可以利用、不可以利用的漏洞，如果可以利用，某些扫描器可以进行写入文件或者拿到shell之类的功能。
弱口令扫描：对于开放的服务进行弱口令扫描，这也是很重要的一个功能。
2.2& 修补措施
商用扫描器在漏洞精确扫描之后，会给出一些建议和技术手段来屏蔽漏洞。最初是提供一些修补建议，这种方式对专业技术人员来说有相当价值，但对于一些技术较薄弱或者比较懒惰的用户，修补建议的作用就被忽略了。在新一代的商用扫描器中，提出了修补联动的概念，通过发送注册表去提示用户，用户双击注册表，就可以导入需要修改、升级补丁的信息，并且还可以和WSUS进行联动。这样就可以基本上达到自动化的修补。
三.&&常见扫描主要技术
要了解常见扫描的主要技术，还要以扫描器工作的流程开始，以nmap为例，整个扫描流程如下：
1、存活性扫描：是指大规模去评估一个较大网络的存活状态。例如跨地域、跨系统的大型企业。但是被扫描主机可能会有一些欺骗性措施，例如使用防火墙阻塞ICMP数据包，可能会逃过存活性扫描的判定。
2、端口扫描：针对主机判断端口开放和关闭情况，不管其是不是存活。端口扫描也成为存活性扫描的一个有益补充，如果主机存活，必然要提供相应的状态，因此无法隐藏其存活情况。
3、服务识别：通过端口扫描的结果，可以判断出主机提供的服务及其版本。
4、操作系统识别：利用服务的识别，可以判断出操作系统的类型及其版本。
这就是以nmap为代表的扫描过程。
3.1& 主机存活扫描技术
主机扫描的目的是确定在目标网络上的主机是否可达。这是信息收集的初级阶段，其效果直接影响到后续的扫描。Ping就是最原始的主机存活扫描技术，利用icmp的echo字段，发出的请求如果收到回应的话代表主机存活。&常用的传统扫描手段有：
1.&ICMP Echo扫描& 精度相对较高。通过简单地向目标主机发送ICMP Echo Request 数据包，并等待回复的ICMP Echo Reply 包，如Ping。
2.&ICMP Sweep 扫描：sweep这个词的动作很像机枪扫射，icmp进行扫射式的扫描，就是并发性扫描，使用ICMP Echo Request一次探测多个目标主机。通常这种探测包会并行发送，以提高探测效率，适用于大范围的评估。
3.&Broadcast ICMP扫描：广播型icmp扫描，利用了一些主机在icmp实现上的差异，设置ICMP请求包的目标地址为广播地址或网络地址，则可以探测广播域或整个网络范围内的主机，子网内所有存活主机都会给以回应。但这种情况只适合于UNIX/Linux系统。
4.&Non-Echo ICMP扫描：在ICMP协议中不光光只有ICMP ECHO的ICMP查询信息类型，在ICMP扫描 技术中也用到Non-ECHO ICMP技术（不仅仅能探测主机，也可以探测网络设备如路由）。利用了ICMP的服务类型（Timestamp和Timestamp Reply 、Information Request和Information Reply 、Address Mask Request 和Address Mask Reply）。
3.2& 规避技术
为到达规避防火墙和入侵检测设备的目的， ICMP协议提供网络间传送错误信息的功能也成为了主要的扫非常规描手段。其主要原理就是利用被探测主机产生的ICMP错误报文来进行复杂的主机探测。
常用的规避技术大致分为4类：
1.&异常的IP包头 ：向目标主机发送包头错误的IP包，目标主机或过滤设备会反馈ICMP Parameter Problem Error信息。常见的伪造错误字段为Header Length& 和IP Options。不同厂家的路由器和操作系统对这些错误的处理方式不同，返回的结果也不同。
2.&在IP头中设置无效的字段值：向目标主机发送的IP包中填充错误的字段值，目标主机或过滤设备会反馈ICMP Destination Unreachable信息。这种方法同样可以探测目标主机和网络设备。
3.&通过超长包探测内部路由器：若构造的数据包长度超过目标系统所在路由器的PMTU且设置禁止分片标志, 该路由器会反馈 Fragmentation Needed and Don&t Fragment Bit was Set差错报文。
4.&反向映射探测：用于探测被过滤设备或防火墙保护的网络和主机。构造可能的内部IP地址列表，并向这些地址发送数据包。当对方路由器接收到这些数据包时，会进行IP识别并路由，对不在其服务的范围的IP包发送ICMP Host Unreachable或ICMP Time Exceeded 错误报文，没有接收到相应错误报文的IP地址可被认为在该网络中。
举例来看：
当发送一个数据包的时候，数据包头部会显示其封装类型，这里显示的是tcp协议。其编号是06，看到06就可以知道这是一个tcp报文。如果把报文标识成不可识别的协议，例如：
协议字段里显示是unknown，编号是b2，这个协议是未知的，那嗅探器也会返回给一个unknown。就是这样发送一个不可识别的协议给其他主机的时候，对方主机也无法识别。当不可识别的时候：
对方认为自己的协议栈上无法识别，第一个动作就是先把数据包丢弃，丢掉报文之后去通知对方，返回了这条icmp的信息。类型为3，目标不可达，其code是2，告诉你目标不可达的原因是协议不可达。当你发送一个错误的数据包，对方不可识别就返回给你一个icmp信息，达到了探测对方的目的。
3.3& 端口扫描技术
在完成主机存活性判断之后，就应该去判定主机开放信道的状态，端口就是在主机上面开放的信道，0-1024为知名端口，端口总数是65535。端口实际上就是从网络层映射到进程的通道。通过这个关系就可以掌握什么样的进程使用了什么样的通信，在这个过程里面，能够通过进程取得的信息，就为查找后门、了解系统状态提供了有力的支撑。常见流行的端口扫描技术通常有：
3.3.1& TCP扫描：
利用三次握手过程与目标主机建立完整或不完整的TCP连接。
TCP connect()扫描： tcp的报头里，有6个连接标记，分别是urg、ack、psh、rst、syn、fin。通过这些连接标记不同的组合方式，可以获得不同的返回报文。例如，发送一个syn置位的报文，如果syn置位瞄准的端口是开放的，syn置位的报文到达的端口开放的时候，他就会返回syn+ack，代表其能够提供相应的服务。我收到syn+ack后，返回给对方一个ack。这个过程就是著名的三次握手。这种扫描的速度和精度都是令人满意的。
Reverse-ident扫描：这种技术利用了Ident协议(RFC1413)，tcp端口113.很多主机都会运行的协议，用于鉴别TCP连接的用户。
identd 的操作原理是查找特定 TCP/IP 连接并返回拥有此连接的进程的用户名。它也可以返回主机的其他信息。但这种扫描方式只能在tcp全连接之后才有效，并且实际上很多主机都会关闭ident服务。
Tcp syn扫描：向目标主机的特定端口发送一个SYN包，如果端口没开放就不会返回syn+ack，这时会给你一个rst，停止建立连接。由于连接没有完全建立，所以称为半开放扫描。但由于syn flood作为一种ddos攻击手段被大量采用，因此很多防火墙都会对syn报文进行过滤，所以这种方法并不能总是有用。
其他还有fin、NULL、Xmas等扫描方式。
3.3.2&&&& UDP扫描
由于现在防火墙设备的流行，tcp端口的管理状态越来越严格，不会轻易开放，并且通信监视严格。为了避免这种监视，达到评估的目的，就出现了秘密扫描。这种扫描方式的特点是利用UDP端口关闭时返回的ICMP信息，不包含标准的TCP三次握手协议的任何部分，隐蔽性好，但这种扫描使用的数据包在通过网络时容易被丢弃从而产生错误的探测信息。
但是，UDP扫描方式的缺陷很明显，速度慢、精度低。UDP的扫描方法比较单一，基础原理是：当你发送一个报文给udp端口，该端口是关闭状态时，端口会返回给一个icmp信息，所有的判定都是基于这个原理。如果关闭的话，什么信息都不发。
Traceroute扫描：tracert 向30000以上的高端口（一般认为，主机的30000以上高端口利用率非常低，任何主机都不会轻易开放这种高端口，默认都是关闭的）。如果对方端口关闭，会返回给icmp信息，根据这个往返时间，计算跳数、路径信息，了解延时情况。这是tracerote原理，也是从这个原理上演变出来udp扫描技术。
使用udp扫描要注意的是1、udp状态、精度比较差，因为udp是不面向连接的，所以整个精度会比较低。2、udp扫描速度比较慢，tcp扫描开放1秒的延时，在udp里可能就需要2秒，这是由于不同操作系统在实现icmp协议的时候为了避免广播风暴都会有峰值速率的限制（因为icmp信息本身并不是传输载荷信息，不会有人拿他去传输一些有价值信息。操作系统在实现的时候是不希望icmp报文过多的。为了避免产生广播风暴，操作系统对icmp报文规定了峰值速率，不同操作系统的速率不同） 利用udp作为扫描的基础协议，就会对精度、延时产生较大影响。
当前在渗透测试过程中对于端口的扫描是非常灵活的，06年的黑帽大会上，就有人利用了开发了工具探测网内哪台主机打开了80端口，这样的技术在当前的互联网上利用的非常普遍。
3.4& 服务及系统指纹
在判定完端口情况之后，继而就要判定服务。
3.4.1& 根据端口判定
这种判定服务的方式就是根据端口，直接利用端口与服务对应的关系，比如23端口对应telnet，21对应ftp，80对应http。这种方式判定服务是较早的一种方式，对于大范围评估是有一定价值的，但其精度较低。例如使用nc这样的工具在80端口上监听，这样扫描时会以为80在开放，但实际上80并没有提供http服务，由于这种关系只是简单对应，并没有去判断端口运行的协议，这就产生了误判，认为只要开放了80端口就是开放了http协议。但实际并非如此，这就是端口扫描技术在服务判定上的根本缺陷。
3.4.2& BANNER
Banner的方式相对精确，获取服务的banner，是一种比较成熟的技术，可以用来判定当前运行的服务，对服务的判定较为准确。而且不仅能判定服务，还能够判定具体的服务版本信息。例如下图，根据头部信息发现对方是redhat linux，基本上可以锁定服务的真实性。
这种技术比较灵活。像http,ftp,telnet都能够获取一些banner信息。为了判断服务类型、应用版本、OS平台，通过模拟各种协议初始化握手，就可以获取信息 。
但是在安全意识普遍提升的今天， 对Banner的伪装导致精度大幅降低。例如IIS&Apache：修改存放Banner信息的文件字段进行修改，这种修改的开销很低。现在流行的一个伪装工具Servermask ，不仅能够伪造多种主流Web服务器Banner，还能伪造Http应答头信息里的项的序列。
变的不仅是红色的部分，而且整个返回序列都变化了。这个变化是手工难已修改的。如果不能成功的修改序列，那就可能给有经验的渗透者提供依据。
3.4.3& 指纹技术
指纹技术利用TCP/IP协议栈实现上的特点来辨识一个操作系统。可辨识的OS的种类，包括哪些操作系统，甚至小版本号。指纹技术有主动和被动两种。
主动识别技术：采用主动发包，利用多次的试探，去一次一次筛选不同信息，比如根据ACK值判断，有些系统会发送回所确认的TCP分组的序列号，有些会发回序列号加1。还有一些操作系统会使用一些固定的tcp窗口。某些操作系统还会设置IP头的DF位来改善性能。这些都成为判断的依据。这种技术判定windows的精度比较差，只能够判定一个大致区间，很难判定出其精确版本，但是在unix，网络设备时甚至可以判定出小版本号，比较精确。如果目标主机与源主机跳数越多，精度越差。因为数据包里的很多特征值在传输过程中都已经被修改或模糊化，会影响到探测的精度。nmap &O参数就是其代表。
被动识别技术：不是向目标系统发送分组，而是被动监测网络通信，以确定所用的操作系统。利用对报头内DF位，TOS位，窗口大小，TTL的嗅探判断。因为并不需要发送数据包，只需要抓取其中的报文，所以叫做被动识别技术。例如telnet对方，并用snort监听数据包：
TCP TTL:255 TOS:0x0 ID:58955 DF**S***A* Seq:0xD3B709A4 Ack:0xBE09B2B7 Win:0x2798 TCP Options =& NOP NOP TS:2347 NOP WS:0 MSS:1460
得到这些信息后，熟悉系统的人可猜测到操作系统是Solaris 2.6-2.7。在nmap中，也有操作系统的指纹库，可以从指纹库中去匹配。其代表扫描工具有 Siphon，天眼。
ICMP指纹识别技术 ：这种工具的出现较晚，大概在年，在黑帽大会上提出，并开发出相应的工具xprobe，其优势是只需要通过icmp，发送一批UDP包给高端关闭的端口，然后计算返回来的不可达错误消息。通常情况下送回IP头+8个字节，但是个别系统送回的数据更多一些。根据ICMP回应的TOS、TTL值、校验和等信息，通过这些信息以树状的形式去过滤，最终精确锁定。下图只是整个判定过程中的一小量部分，类似的图还有很多张。
例如TTL值，当你发送icmp 的echo请求，对方回应的ttl值是有一定规律可循的，一般是4个数值，32（win95，唯一值为32的操作系统），64，128（windows家族，只有win95例外），256。64和256比较难以分辨，大多数的unix和linux都可能是。 代表性扫描工具 Xprobe。
最新内容：
相关内容：
合作伙伴：君，已阅读到文档的结尾了呢~~
降低入侵检测系统中漏报和误报率的技术系统,降低,漏报,漏报率的,与技术,误报率,漏报率,误报和漏报,检测技术,降低漏报
扫扫二维码，随身浏览文档
手机或平板扫扫即可继续访问
降低入侵检测系统中漏报和误报率的技术
举报该文档为侵权文档。
举报该文档含有违规或不良信息。
反馈该文档无法正常浏览。
举报该文档为重复文档。
推荐理由：
将文档分享至：
分享完整地址
文档地址：
粘贴到BBS或博客
flash地址：
支持嵌入FLASH地址的网站使用
html代码：
&embed src='/DocinViewer-4.swf' width='100%' height='600' type=application/x-shockwave-flash ALLOWFULLSCREEN='true' ALLOWSCRIPTACCESS='always'&&/embed&
450px*300px480px*400px650px*490px
支持嵌入HTML代码的网站使用
您的内容已经提交成功
您所提交的内容需要审核后才能发布，请您等待！
3秒自动关闭窗口查看:14650|回复：24
助理工程师
关于服务器安全仅开放80端口，请高手指点还有何种可以攻击服务器的方法
1.防火墙屏蔽所有端口，仅开放80端口供外部访问，并且开放的80端口仅可入站的交互，不允许发起出站访问，正版系统，打全了所有的系统漏洞补丁。
2.新建一个针对网站的独立用户，此用户不属于任何组。
在iis属性---目录安全---编辑选项中，启用身份验证方法，勾选启用匿名访问，填入设置好的网站独立用户的用户名和密码，其他不选。
3.在保证系统能够正常运行的情况下，将其他目录不需要的权限均去掉，仅保留administrator/system等相应权限。
4.网站目录添加针对网站的独立用户的权限，除administrator/system权限外仅添加：读/写/删/改&&的权限。
5.网站的运行环境仅支持.net程序，并且.net程序已经经过编译了。
6.关于服务器的管理，我同样采用远程，但是设置了可以连接远程的ip地址，其他ip无法连接远程。
以上步骤做完后，除发生网站编写代码漏洞/流量攻击，还有什么方法可以使我的服务器瘫痪、中毒或者被入侵者取得管理权限？
服务器安装的杀毒软件是诺顿。
个人认为网站已经设置了独立的访问者，同时控制了其他目录的权限 ，也屏蔽了除80以外的其他端口，而且禁止了80端口主动出站的访问，故即使网站由于代码漏洞被篡改页面或者其他方式导致网站不能访问，也不会影响到服务器的安全稳定运行和对其他网站的正常访问，当然其他网站我也同样单独设置了相对于各个网站目录的独立网站权限用户。
请高手指点一二，这种思路设置后服务器方面对于提供网站服务还有什么不足之处？在此谢过！！！
该用户已被禁言
N都多网站被攻破，代码类漏洞是占很大很大一部分的。
如果是排除网站代码跟DDOS等。
你的权限也设置的很严格，的确很安全。
那就只有0day了. 呵呵。。。
欢迎来51CTO攻防板块：
---------------------------------------------------------
钓鱼岛是中国的，苍井空是世界的！
-------------------------------
助理工程师
本来我想连80都完全屏蔽掉，但是我一直没有扫描到外部用户通过浏览器访问服务器时，服务器中是哪个程序与之连接的，如果可以找到，那么我会将80端口也屏蔽到，同时排除外部访问服务器浏览时，服务器所需要提供服务的程序，这样即使真的出现了0day的情况，也只是针对这个服务而已，同样不会影响到服务器的安全稳定运行，对么朋友？
该用户已被禁言
引用:原帖由 就是不明白 于
19:53 发表
本来我想连80都完全屏蔽掉，但是我一直没有扫描到外部用户通过浏览器访问服务器时，服务器中是哪个程序与之连接的，如果可以找到，那么我会将80端口也屏蔽到，同时排除外部访问服务器浏览时，服务器所需要提供服务的程序，这样即使 ... 通过代码漏洞，比如SQL注入，先get shell，然后通过Oday拿服务器权限。
欢迎来51CTO攻防板块：
---------------------------------------------------------
钓鱼岛是中国的，苍井空是世界的！
-------------------------------
助理工程师
如果用以下方法会不会解决sql注入问题
网站根目录下单独设置一个目录，此目录下是网站的所有页面，所有页面均为静态页面，无登录等功能，无动态程序.net页面，仅有静态页面，将此目录作为这个网站的子站，绑定一级域名，同时根目录随便绑定一个比较长而且不规则的二级或者三级域名，动态网站中禁止搜索引擎蜘蛛爬取动态网站也就是绑定二级域名的页面，用程序控制仅有某些ip可以访问登录动态网站后台，也就是说一般用户看到的所有页面均为静态，不会看到动态页面，同时我用软件限制静态页面的目录不能够生成除html后缀以外的文件，这样会不会解决网站出现sql注入的问题呢？
本帖最后由 就是不明白 于
21:07 编辑
该用户已被禁言
引用:原帖由 就是不明白 于
21:05 发表
如果用以下方法会不会解决sql注入问题
网站根目录下单独设置一个目录，此目录下是网站的所有页面，所有页面均为静态页面，无登录等功能，无动态程序.net页面，仅有静态页面，将此目录作为这个网站的子站，绑定一级域名，同时根目录 ... 我个人的看法是这样的。
这样的话，也不能完全防止注入。
用这样的手段，也能起到一定的防注入效果。但是仍然不能完全根除。
注入技术发展了整整10年了，大牛们把注入已经发挥到极致了。
----------------------------------------------------------------------------------------
原则上来说，HTML静态页面是无法注入的。
但是，并不是所有的html都不可以注入的 。
现在大部分HTML页面是动态页面放入HTML模版，从而形成的静态页面。
也就是你常能听到的伪静态。。。
呵呵， 明白这个意思就可以了。
攻击的话。。
一般就是从这些静态页面里找出动态页面的地址。
比如，可以用工具获取HTTP信息。向WEB_sniffer之类的工具。&&一些题外话。
你的方法，能起到很好防注入效果。^_^
欢迎来51CTO攻防板块：
---------------------------------------------------------
钓鱼岛是中国的，苍井空是世界的！
-------------------------------
助理工程师
今天解决了我很多疑问，非常感谢！我会让程序那边配合下，在专属目录生成纯静态，有机希望能对Linux的安全问题赐教一二，再次感谢今天的解答！
专注中小企业IT实施，构建最具性价 ...
引用:原帖由 systemerror 于
22:37 发表
我个人的看法是这样的。
这样的话，也不能完全防止注入。
用这样的手段，也能起到一定的防注入效果。但是仍然不能完全根除。
注入技术发展了整整10年了，大牛们把注入已经发挥到极致了。
-------------------------------- ... 看不明白了,为何不用专业的WAF设备呢
助理工程师
只不过是一个公司的网站，只有一台服务器，就不用了吧，呵呵。。。再说真是有了那个设备服务器自身的安全也不能免啊
白袍大法师
1、要限制端口，只开放业务端口，比如80，别的不开放。
2、通过开放的80端口，可以通过数据库注入、网页代码的漏洞上传木马，获取权限。
3、可以上传木马，反弹连接。这样什么端口限制都没有用。。因此还要关闭服务器访问外网的功能，禁止反弹。。
热心广援。
天下风云出我辈， 一入江湖岁月催。当年的“小侠唐在飞” 如今变成了“大侠唐在飞”。?金杯银杯，不如网友的口碑；金奖银奖，不如网友的褒奖；熊掌鸭掌，不如网友的鼓掌~& &
?欢迎加入“唐志强技术教学交流群”，群号：。?
该用户已被禁言
引用:原帖由 tao61 于
22:48 发表
看不明白了,为何不用专业的WAF设备呢 呵呵。。WAF之类的应用防火墙或者防篡改设备，的确能起到不错效果。
可是那类设备比较贵，有些小企业，估计不想花那么钱吧。
我猜想的，嘿嘿。。。
欢迎来51CTO攻防板块：
---------------------------------------------------------
钓鱼岛是中国的，苍井空是世界的！
-------------------------------
该用户已被禁言
引用:原帖由 就是不明白 于
22:48 发表
今天解决了我很多疑问，非常感谢！我会让程序那边配合下，在专属目录生成纯静态，有机希望能对Linux的安全问题赐教一二，再次感谢今天的解答！ 客气了。多多来攻防板块哦。
欢迎来51CTO攻防板块：
---------------------------------------------------------
钓鱼岛是中国的，苍井空是世界的！
-------------------------------
禁止反弹出去，嗯，学习了
白袍大法师
引用:原帖由 systemerror 于
13:30 发表
呵呵。。WAF之类的应用防火墙或者防篡改设备，的确能起到不错效果。
可是那类设备比较贵，有些小企业，估计不想花那么钱吧。
我猜想的，嘿嘿。。。 ... WAF很贵。。1000M的一台几十W，还只能管WEB安全，并不能替代防火墙。。
天下风云出我辈， 一入江湖岁月催。当年的“小侠唐在飞” 如今变成了“大侠唐在飞”。?金杯银杯，不如网友的口碑；金奖银奖，不如网友的褒奖；熊掌鸭掌，不如网友的鼓掌~& &
?欢迎加入“唐志强技术教学交流群”，群号：。?
“防火墙屏蔽所有端口，仅开放80端口供外部访问，并且开放的80端口仅可入站的交互，不允许发起出站访问，”
你还装了诺顿，屏蔽了所有端口，也就是说诺顿也不能升级了，还有什么用呢？
“正版系统，打全了所有的系统漏洞补丁。”
正版系统只会更新windows补丁，第三方程序漏洞补丁不会打的，比如上面说的“诺顿”就属于第三方程序，以前有个诺顿远程溢出漏洞的，溢出后直接拿system权限shell。现在的版本已经不能了，如果你的诺顿是新版本的话。
纯属个人看法，你配置的很安全了，有的地方做的画蛇添足了，服务器最好不要做别的用，注意第三方软件漏洞。有时候一个小小疏忽就会导致服务器沦陷的，web服务器不一定只从80入侵的。你的注意力都转到端口入侵上了，注意一下其他的吧。灰阔的智慧是无限的。。。
Tcp syn flood 攻击你的服务器不知道能够支撑多久啊
最有价值午饭
助理工程师
有些东西不可避免，只能算是相对吧，其实做的很多东西也只能说是尽量，无法做到100%
大牛们把注入已经发挥到极致了
可以考虑Metasploit来试试