关于后台管理不安全的地方


Warning: Undefined array key "HTTP_REFERER" in /www/wwwroot/prod/www.enjoyasp.net/wp-content/plugins/google-highlight/google-hilite.php on line 58

若允许用户在没有权限的情况下可以看到后台的页面,则可通过分析后台页面文件来生成新用户,进而进入后台。
如:一后台页面可以看到,当然不能操作。找到其增加用户的页面,选择好数据,在地址栏中进行插入:
http://www.telishou.com/manage/admin/insert.action?admin.name=123&password=123&power=管理员
完成用户的增添。即使权限不在插入页面中设置,可找到update页面也利用地址栏方式修改。
地址栏传参方式可避开页面中设置的验证条件,向数据库中插入一些非法的数据。

向数据库中插入一些非法的数据对应方法:
?????????????????????????????????? 1,禁止没有权限的用户得到权限页面文件,对insert,update,delete,select操作加上必要的身份识别:没有权限?? 者不可执行操作。
?????????????????????????????????? 2,验证要在服务器上进行,而不是在客户前端通过js验证。