某灯饰企业网站渗透测试-某灯饰企业网站渗透测试
2025-06-07 00:20:20
行业：物联网、工业互联网
载体：网站、操作系统
技术：PHP、MySQL、Linux Driver、Windows Driver Kit
业务和功能介绍
随着线上业务的扩展，网站成为企业品牌形象和客户信任的重要载体，但也面临日益增长的网络安全威胁，例如数据泄露、钓鱼攻击等。为确保业务连续性和用户数据安全，某企业负责人委托本次渗透测试，以评估网站系统的安全性，识别潜在风险并制定改进措施。
用户可通过产品页面（product.php）浏览吊灯、壁灯等产品，支持按类别（cid参数）和分页（pageNum2参数）筛选商品，展示产品图片、价格和详情。
提供产品说明书或图片下载功能（download.php），用户可通过fileName参数下载指定文件，文件存储在服务器本地目录。
用户可通过表单提交咨询或订单请求，涉及用户邮箱、联系方式等敏感信息录入。
管理员可通过未公开的管理接口登录系统，管理商品信息、订单数据和用户账户。
用户可通过产品页面（product.php）浏览吊灯、壁灯等产品，支持按类别（cid参数）和分页（pageNum2参数）筛选商品，展示产品图片、价格和详情。
提供产品说明书或图片下载功能（download.php），用户可通过fileName参数下载指定文件，文件存储在服务器本地目录。
用户可通过表单提交咨询或订单请求，涉及用户邮箱、联系方式等敏感信息录入。
管理员可通过未公开的管理接口登录系统，管理商品信息、订单数据和用户账户。
项目实现
测试团队由刘建鑫、谢宇辉和单钰凯组成，投入约80小时，具体实施过程如下：
与客户确认测试范围明确禁止DoS攻击，确保业务不中断。
通过Nmap扫描目标IP识别开放端口（80、443、8123）；使用Burp Suite抓取流量，锁定高风险页面（download.php、product.php）。
优先锁定文件包含（LFI）、SQL注入和XSS攻击向量，制定攻击路径：LFI提取敏感文件 > SQL注入获取数据库 > XSS窃取会话。
利用LFI下载SSH公钥和配置文件，SQL盲注提取数据库名（wada2），XSS验证会话劫持可行性，未深入提权以控制影响。
与客户确认测试范围明确禁止DoS攻击，确保业务不中断。
通过Nmap扫描目标IP识别开放端口（80、443、8123）；使用Burp Suite抓取流量，锁定高风险页面（download.php、product.php）。
优先锁定文件包含（LFI）、SQL注入和XSS攻击向量，制定攻击路径：LFI提取敏感文件 > SQL注入获取数据库 > XSS窃取会话。
利用LFI下载SSH公钥和配置文件，SQL盲注提取数据库名（wada2），XSS验证会话劫持可行性，未深入提权以控制影响。
示例图片视频
相似推荐
大模型驱动的工业数字孪生平台-LLM Digital Twin
面向智能制造与物联网演示的数字孪生平台，支持用自然语言直接控制虚拟与真实设备。
核心功能：①LLM Agent解析自然语言指令，自动映射为设备操作；②MQTT总线实时同步设备状态，指令下发毫秒级响应；③Three.js三维场景实时渲染，设备状态一屏总览；④Webots仿真环境真机联调，支持虚实融合验证。适用于工厂产线可视化、智能家居演示与物联网教学场景。
智慧城市管理平台
综述：监管方面：使用统一的GIS底图，实现灯杆一张图数据与生命线底图数据的打通，将灯杆点位及实时数据接入，配置相应报警阈值，实现远程控制功能的定制开发，包括亮灯率指标在线考核，灯杆一张图，监督评价，查看具体监测设备运行信息等功能。应包括：照明监管一张图、照明综合监管、照明智慧监测3个业务模块。其中照明一张图应包括：GIS总览一张图、点位及实时数据整合分析、单点设备信息管理、漏电监测统计分析；综合监管应包括：维护管理、工程项目管理、风险评估模块、办公管理、资产管理、能耗管理、用电管理、车辆管理、系统接入、监督评价功能；照明智慧监测应包括：集控监测管理、单灯控制器监测管理、专变漏电及温度监测、视频管理、智慧灯杆管理。
监测方面：现阶段对道路照明基础设施的远程智慧管控需求需要提升。拟定在市管及邗江区局部范围内进行单灯控制设备监测的推广，提高单灯系统覆盖率的同时进一步提高运行的可靠性；增加市管及邗江区的集控终端和漏电监测内容，完善邗江区内对于漏电保护主动报警，故障数据，主动保护，线路漏电值等数据的记录和管理；增加照明专用变压器电流及温度监测设备，提升城市照明专用变压器管理的安全性和高效性。
基于ESP32-C5的无人机无线信号被动扫描识别系统
系统由ESP32-C5无线采集终端、W5500以太网模块和内网服务器组成，支持WiFi/BLE被动扫描、MAC地址与SSID采集、RSSI信号强度记录、信道识别、时间戳记录及原始帧摘要上传。服务器可根据MAC/OUI、SSID规则和信号变化识别疑似无人机，支持分区域白名单、在线状态判断、多采集点数据融合、异常告警、设备状态监控及内网OTA升级。
智能穿戴APP-GsFit
面向国内外市场的智能手表/手环配套Android 应用，涵盖设备连接、健康数据监测、运动记录、表盘市场、固件OTA、WiFi 音箱控制、即时通讯等核心功能，支持20+语言国际化, 海量健康数据管理：基于 Room+LiveData 存储步数、心率、血氧、HRV、睡眠等时序数据，自定义图表组件实现日/周/月多维统计展示.
装备管理系统
系统功能模块完整，涵盖以下核心能力：
1. 首页与系统概览：展示库房数量、枪弹柜统计、在线设备、装备在位数、出入库动态及库室分析看板，支持 ECharts 可视化与快捷跳转。
2. 门禁控制：按库房筛选门禁设备，支持单门开关、批量选择、一键开门/关门，以及门禁参数配置与开门记录追溯。
3. 室内监控：集成视频监控登录与多路画面查看，支持装备柜专项监控视图。
4. 物资管理：分枪械、弹药、其他物资三大类别，提供申请审批、库存管理、物资概览及出入库清单，实现全流程物资流转管控。
5. 报警管理：集中处理各类安防报警事件，与系统概览联动展示未读报警数量。
6. 数据分析：提供报警记录、开门记录、温湿度记录、液压记录及操作记录等多维度历史数据查询与统计。
7. 基础数据：管理设备、库房、枪柜/弹柜、图纸（含二维/三维及设备点位标注）、物资数据、货架与物资柜等基础信息。
8. 系统设置：涵盖布防设置、封库设置、库房设置、气象设置、组织/用户/角色/菜单/岗位/字典管理及操作日志，支持 RBAC 权限体系。
9. 其他功能：液压管理、消防管理等扩展模块，以及登录认证（账号密码、人脸识别）与全局消息通知。
帮助文档
Copyright @ 2021-2024 程聚宝 | 浙ICP备2021014372号
人工客服