很多公司使用定期更新的 CMS 软件，通常是安全修复，暗示之前的版本存在安全漏洞。但大多数客户从不升级它，甚至 CMS 已被修改，因此更新会破坏网站。 是否有记录这些漏洞并指导如何测试它们的网站？或者这些信息甚至没有被发布？ （为了不让人们试图利用他们）
还有一个通用的基于 php/js 的检查列表来防止黑客攻击吗？我知道 SQL 注入和 XSS，但我确信还有更多威胁。
和平
【问题讨论】：
标签： php content-management-system exploit
列举所有这些漏洞的网站例如
webapps 的基本清单可以在 OWASP 上找到，这是一个非常通用的清单。
【讨论】：
SQL 注入和 XSS 攻击都可以通过解析代码中的所有信息来解决（添加斜杠、删除“”标签等）；从我的角度来看，Magic quotes emulation 和 register_globals off 解决了这些问题。小心点，不知道确切的时间，但 magic_quotes 将被弃用，所以不要指望它。
那么它们还有哪些其他威胁？根据我的经验，最常见的人为错误与身份验证有关。这并不意味着用户没有登录，而是意味着用户可以为其他用户读取/写入信息。因此，每当您看到这样的删除链接：index.php?page=images&action=delete&id=2 时，请尝试使用另一个用户图像的另一个 ID。您应该收到一条错误消息，显示“不是您的图像”或其他内容。这很难检查，因此您必须依靠开发人员的经验。
我遇到的第二大问题与代码无关，而是与服务器有关。 FTP密码被病毒（IFrame病毒等）窃取，或者服务器被各种暴力破解。
结论是：如果您确定检查了 SQL 注入和 XSS 攻击，那么您必须做的最后一件事是解决身份验证问题（再一次，身份验证意味着您获取/更改的信息是您的）。人们往往对安全问题有点偏执，但最常见的黑客攻击并不是开发人员的错。
希望这会有所帮助；
最好的问候， 加布里埃尔
【讨论】：