为什么都只重营销不重技术呢?看看中联网!

这两天到了贵州省红十字会救护培训中心上班了,负责网站开发建设及网站管理等工作。之前中心已经和中联网贵阳分公司签了7800的建站协议,我知道后大吃一惊,因为一台服务器的电信托管费用也就6000块,而一般企业建站也就2000多块,最高不超过5000。不过这是单位与单位之间的事儿,我刚来也管不了。
  今天去钻石广场的中联网贵阳分公司拿域名及FTP密码,当时没拿成,因为我没带单位的章去,回来在FTP申请协议上盖了章传真过去,他们才把密码传了过来。这一趟,我在他们公司看到了实际的工作场景,两三个女生拿着电话黄页不断的打电话给其他公司推销建站,还有两个男生也在不断接电话谈业务的事,再就是有两个女客户在电脑前要稍微闲一点,还有两三个办公桌吧,就是搞图片设计或是建站了。也就如此,网站业务是这样做下去的。
  后来,我打开了他们公司的http://www.bobcn.com网站,有一些产品分类宣传及公司网站作品展示,及供求信息,页面也比较简单。查询了一下世界排名,30多万,还没我的yl169.cn前段时间的高。再一测试安全,晕死,有好多注入点,因为没有工具,我就没有作进一步的测试了。
  原先他们为中心做的http://www.jhpxzx.com就有注入漏洞,没想到自己的主站也有,我看这不是个别案例了。像这样的公司做出来的网站也是华而不实,而且数据安全根本就没有保障。
  现在回家了,漏洞就如图所示,整站就目前没有安全可言了。

2006-03-17_133511-0.jpg

通过工具,很轻易的就得到管理员用户名及密码:

检测的表段:[admin]
—————————————-
[admin_pass] : zlw******(隐去数字) [admin_id] : 1 [admin_name] : zlsj
—————————————-
收集时间:2006-03-17 18:42:00

通过管理登陆入口:http://www.bobcn.com/admin/login.asp 登陆,就可以进行系统管理了!!

2006-03-17_133511-1.jpg

2006-03-17_133511-2.jpg

其实这是一个网站代码暴露已久的漏洞,通过十多行代码就可以解决的。可是网站建设及管理人员根本就没有意识到这一点。而且所做出去的网站也存在这样的安全隐患,这样的事情我看都是公司老大对营销的过于看重而疏忽技术吧,也就存在了产品质量得不到保证。

后记:4月份,中联网就关门了,几百个客户资料转给了贵州企业网。后来我直接把域名过户过来,直接向服务商续费,也从新配置了一台网站服务器托管到电信。

发表评论

您的电子邮箱地址不会被公开。