啥叫旁注啊？

先说说咱们得说明白，旁注这玩意儿词在网上乱飞，hen许多人kan到就晕头转向。其实旁注本来就是文章边上的细小注释，可是眼下黑客们把它当成了打手段。他们说“旁注”是从别的网站绕过去打你的站点，听起来像武侠细小说里的暗器。其实就是利用同一台服务器上的其他站点漏洞，先拿到webshell，再反过来打你的目标站点。

比如你想打A网站，后来啊A网站补丁打得特别结实找不到漏洞。这时候黑客就会去找和A网站同一台服务器上的B网站、C网站，kankan它们有没有没修优良的漏洞。Ru果B或者C有SQL注入、文件上传之类的问题，黑客就Neng前里丢个木马，得到服务器的Zui高大权限。然后利用服务器上的虚拟目录配置不严格，或者直接读取目标站点的物理路径，就这样悄悄地进了A网站。

旁注到底是怎么产生的？

产生旁注的原因其实hen轻巧松：服务器管理员太懒或者太粗心。共享主机上面常常会放优良几十个甚至上百个网站，权限划分不清楚，目录随便写。比如把全部站点dou放在同一个wwwroot文件夹里然后给个个站点分配了相同的IIS应用池权限。这样一来 只要其中一个站点出现漏洞打者得到系统命令施行权限，就Neng遍历整个磁盘，找到其他站点的配置文件、数据库连接字符串甚至源代码。

再说一个还有些奇怪的操作：有人为了方便直接把FTP账号写在网页注释里后来啊被搜索引擎爬到；还有人把数据库备份文件放在可下载目录里；还有人把phpinfo页面记不得关掉……这些个dou是给旁注留下“巨大门”。

旁注打会带来啥麻烦？

中招以后后果hen严沉：先说说是数据泄露——用户名密码、 邮箱、手机号甚至身份证信息dou兴许被导出；接下来是页面篡改——黑客会在首页插入广告链接、挂马脚本或者直接把你的首页换成“ hacked by xxx ”；再者是服务器被用来Zuo跳板发起其他打，这时候你兴许会收到运营商警告甚至被封IP。

geng可怕的是hen许多细小企业根本不晓得自己中招了 基本上原因是流量没明显异常，只是有时候kan到一些奇怪的referrer或者日志里出现陌生IP。等到找到的时候往往Yi经亏本惨沉——品牌受关系到、客户流失、兴许还要面对王法赔偿。

怎么别让旁注呢？

Ru果条件允许就买独立IP或者高大防云服务器；Ru果实在离不开共享主机的话尽量选择巨大厂且口碑优良的供应商。

不要让全部站点用同一个应用池；Zui优良给个个站点分配独自的Windows用户或Linux账号；目录权限要设成Zui细小少许不了——只读或只写所需文件夹。

用开源工具或者买卖产品定时扫描自己全部子域；对找到的高大危漏洞立刻修优良；特别是那些个老老框架及插件一定要升级到Zui新鲜版。

虽然不Neng百分百阻止全部打但Neng拦截hen许多常见payload。Neng选云防护也Neng自己装ModSecurity+Nginx.

开启详细访问日志 并定期检查异常求——比方说频繁 的 404 、 奇怪 的 User‑Agent 、 POST到 不 常 见 路径 。配合ELK 或轻巧松 的 脚本报警Neng够早找到异常行为。

一些额外啰嗦的话

对了还想提一句：平时许多kankan平安博客虽然hen许多文章写得hen官方但有时候也有干货比如说有些论坛里会泄露Zui近爆出的CVE编号 ；再说一个也Neng加入一些手艺交流群不过想起来别相信那些个免费提权工具不然兴许自己中招哦 。还有就是别随便相信SEO外链公司说他们Neng帮你飞迅速排名有时候他们会把垃圾页面挂到你服务器上这就是另一种形式 的 “间接 注入” 嘿嘿 。再说说祝巨大家douNeng有一个清洁平安 的 细小天地 祝顺利！

---

本文章纯属虚构 内容仅供玩乐 参考请自行鉴别 若有不适请马上关闭 本页面 不构成随便哪个觉得Neng

---