百度网站评测中心上线提供评测及网站优化方案

来源：岁月联盟编辑：exp 时间：2013-07-26

　　官方介绍：

　　百度网站评测中心是百度主要面向推广客户提供的网站评测与网站优化服务的平台，旨在为客户提供营销网站的内容、流量、速度、安全4个方面的专业评测及配套的网站优化方案，帮助客户提升网站的用户体验和网站质量，从而提升网站整体的转化能力。

　　怎样注册评测中心账号

　　评测中心提供了推广账号登录方式，如果您还没有注册百度推广账号，请进入百度推广平台进行注册http://tongji.baidu.com/web/register

　　为什么要验证管理员权限

　　如果您想知道更多关于您的网站信息，您需要验证管理员权限。因为百度站点评测绝对不会再没通过管理员验证的情况下透露相关的详细信息给任何人。通过验证后，您可以获得关于网站的详细信息。

　　什么是网站安全漏洞

　　网站安全漏洞是指网站存在易受外来电脑入侵者攻击，通过篡改网页、挂马等行为来威胁网站的正常运营。常见的漏洞类型有：SQL注入、XSS漏洞、 Nginx解析漏洞、文件包含、URL跳转、SVN信息泄露、命令执行、WEB-INF目录被访问、apache httponly cookie泄露、版本泄露等。这些漏洞在不关注安全代码设计的人员眼里几乎不可见，大多数网站设计开发者、网站维护人员对网站攻防技术的了解甚少;在正常使用过程中，即便存在安全漏洞，正常的使用者并不会察觉。安全漏洞更详细的知识，请见：http://security.baidu.com 。

　　本评测中心给出的类型中，其中主要的四种危害说明如下：

　　(1)backend_entrance_discovered(高危)

　　管理后台对外的危害是将网站的管理后台开放给黑客，黑客可以通过暴力破解等等方式拿下后台

　　(2)fastcgi漏洞(中危)

　　可以将jpg、css等文件当做可执行文件执行，若用户上传的jpg等文件有恶意可执行代码，那么访问该文件时恶意代码会被执行，整个系统造成威胁。

　　(3)crossdomain_vul漏洞(低危)

　　crossdomain.xml配置不当有可能导致flash跨域攻击。flash在跨域时唯一的限制策略就是crossdomain.xml文件，该文件限制了flash是否可以跨域获取数据以及允许从什么地方跨域获取数据。flash作为浏览器的扩展允许跨域获取数据就从根本上打破了浏览器的安全性。flash以flash文件存储域名作为它的当前域，如果需要获取其他服务器上的数据就会发生跨域行为，而且该跨域行为会继承用户浏览器里的认证信息，限制不严格时将导致安全漏洞，打破我们的整个客户端安全模型。

　　(4)http_only漏洞(低危)

　　如果没有设置http_only属性，而当该url存在xss漏洞时，那么攻击者就可以获得完整cookie值，从而盗用别人权限，比如管理员权限，对整个网站造成危害。

　　评测报告内容：