样例报告

💀 严重漏洞

远程代码执行（RCE）严重

POST /api/import → 传入恶意 YAML 触发命令执行（实测 whoami 返回 www-data）
数据导入接口使用不安全的反序列化解析用户上传内容，攻击者无需登录即可在服务器上执行任意命令，进而读取数据库、植入后门或横向渗透内网。这是最高危的一类问题：等于把服务器交给了攻击者。
🔓 修复方案（完整报告含全部步骤）
1) 禁用 YAML 的任意对象反序列化，改用 safe_load；
2) 对上传内容做类型白名单校验，拒绝非常规结构；
3) 该接口增加鉴权 + 来源 IP 白名单；
4) 应用池降权运行，禁止执行系统命令（AppPool 独立低权账号）；
5) 修复后回归验证：使用同一 payload 应返回 400 且无命令回显。
🔴 高危漏洞

SQL 注入漏洞高危

POST /api/search — 参数 keyword
搜索接口存在 SQL 注入，攻击者可绕过认证读取数据库内容。建议使用参数化查询，并对输入做严格校验。

备份文件泄露：/.git/config高危

GET /.git/config → HTTP 200 (412 bytes)
网站根目录暴露了 .git 版本控制目录，攻击者可下载完整源码。建议删除或禁止访问 .git 目录。
🟠 中危漏洞

敏感信息泄露：内网 IP中危

页面源码发现 192.168.1.100:8080
页面中泄露了内网 IP 地址，可能被用于内网渗透。建议清理调试信息。

目录扫描发现管理后台中危

GET /admin → HTTP 200
检测到管理后台入口，建议启用访问限制和双因素认证。

版本信息泄露中危

响应头 Server: nginx/1.18.0
服务器版本信息暴露，攻击者可能针对已知漏洞发起攻击。建议隐藏版本号。
🟡 低危漏洞

缺少安全响应头低危

缺失: X-Frame-Options / Content-Security-Policy
缺少点击劫持防护和内容安全策略头，建议补充配置。

Cookie 缺少 Secure 属性低危

Set-Cookie: sessionid=xxx; Path=/
会话 Cookie 未设置 Secure 和 HttpOnly，建议加固。

🔒 以上为样例报告预览。真实报告包含：修复建议 · PDF 导出 · 分享链接，扫码付费即可解锁。

🚀 去检测我的网站

* 本页面为演示样例，非真实扫描数据