请根据描述帮忙分析一下网站数据库被删除原因（谢谢） - 编程论坛

#2

yms1232011-03-08 13:56

项目里的编辑器用的是什么eWebEditor?
access按道理来说注入漏洞的可能性不大
但是个人所知access可以有爆库漏洞，这个漏洞可以让数据库被下载下来。
所以网站的话要从三个方面来查找漏洞
一是，数据库方面
二是，文件上传方面
三是，程序代码方面
LZ数据库管理员密码加密了吗？

#3

rosang2011-03-08 21:27

谢谢楼主的解答

编辑器用的是eWebEditor
数据库是用的access,但是未加密
因为是企业网站所以比较简单，只有新闻展示和产品展示，唯一能被网友利用的就是在线留言了，但是在线留言是用的textarea，没有上传功能

程序代码方面，有过滤字段，并且后台的所有页面均有登陆验证，没登陆的情况下，打开所有页面都会跳转到登陆页面(有不足的地方还请指点）

补充：我查看了一下网站的log日志，发现对方是先猜解的后台登陆地址，截取一段对方访问页面的过程：
/admin (不对)
/admin.asp (不对)
/admin/admin_login.asp (不对)
/admin/login.asp (不对)
/login.asp (后面就都猜对了，访问的页面有CSS，有ewebeditor)
/ck_login.asp
/system/
/system/right.asp
……

页面访问顺序1~6秒左右

#4

孤独冷雨2011-03-08 21:42

晕，用eWebEditor你还不把login.asp页面给删了！你删了后再把网站页面文件加上SQL防注入。就没有问题了！

#5

yms1232011-03-08 23:15

eWebEditor不仅要删除编辑器的登陆界面，而且这个编辑器自身就存在上传漏洞，还要删除编辑器的文件上传页面
还有就是数据库管理员帐号未加密是非常危险的，因为通过下载数据库就可以知道管理员密码了，登陆网站删除数据轻而易举。

#6

rosang2011-03-09 03:01

谢谢两位，ewebeditor是不是只删除文件上传的功能就可以了？其它上传功能可以不删吗？比如图片上传、FLASH动画上传、媒体文件上传..

#7

hams2011-03-09 08:01

应该都是同一个上传程序

#8

rosang2011-03-09 09:36

请问下是被利用了上传程序上传了exe文件吗?如果不删上传功能只禁止上传exe类型的文件行吗?

#9

rosang2011-03-10 14:10

数据库设了密码，ewebditor的上传类型设置为不可上传exe文件
谢谢几位版主`