给母校做了个安全检查，结果比较失望

[pimin]

前几天在@xuhao360 在/t/135909 提问，看到母校网站，刚好最近bash之类的各种闹得凶，曾经的脚本小子手也痒痒了
分站很多，但是大部分都集中在一台服务器上
弱口令，爆路径，xss简直太多，但是基本上都拿不到webshell，因为后台都太简单了
直到在一个备份的网站目录下找到了一个编辑器漏洞拿了个webshell。
拿到webshell之后就是想提权，服务器打的补丁很少，类似ms12020测试对部分服务器都有效。
拿到shell的那台服务器经测网站目录完全没有执行权限。
突破口是一台mssql服务器，找到了一个注入点，发现是sa登录，系统权限到手。
登录之后dump 本地hash，然后放到彩虹表里跑，7.5G彩虹表10分钟跑出来了，密码强度很高，10位有特殊字符。
然后用得到的密码去试。。大部分服务器都是一个管理员配置的。
管理大部分分站那台服务器，拥有几乎所有站点的备份，如果愿意基本上全部可以搞定。
主站的服务器，还连着内网，我没有做嗅探之类的继续深入，感觉意义不大。


我以为现在网络已经很安全了，毕竟现在玩木马入侵什么的，比我上学那会少太多了。

[workaholic]

类似经历，扫描六台服务器有四台能够成功突破进去......

[shuangchun]

我们学校的几台服务器早都XXOO，记得大一的时候随便cc一下就挂了主页。关键是学校的电费充值系统传输是明文，而且没有任何保险措施，只是不太敢搞。

[ksupertu]

服务器装360就是为打个离线补丁而已，不要大惊小怪，学校也不会出这个杀毒软件的钱

[why]

远程桌面，360那个球会满的

[typcn]

360才是亮点

[typcn]

@ksupertu
1 360杀毒好像不能打补丁
2 微软有官方补丁包为什么要用360这种曾经篡改过补丁包的软件
3 服务器需要杀毒软件？ 权限控制好 服务器加一层WAF 啥事没有

[t6attack]

按照现行法律，入侵主机满20台即可入刑。
所以现在非商业竞争性网络，普遍没什么动力修复漏洞。

[ksupertu]

@typcn
1、360服务器版是目前免费服务器版软件里打补丁做的最好的了，可以自己去感受一下金山服务器版杀毒软件的补丁功力，隔离网几乎打不上补丁，不会通过CC服务器中转，这个杀毒你以为哪来的，不是卫士服务器版自己拖上来的？
2、微软官方有补丁包，可是你家的服务器全部有独立IP对外服务吗？全部拥有外网访问权限？
3、家贼难防，出门左转乌云看如何攻破waf