論文：Web安全對策研究

時(shí)間：2022-07-09 11:33:01 | 來源：建站知識

時(shí)間：2022-07-09 11:33:01 來源：建站知識

Web安全對策研究

摘 要 

本文主要以Web應(yīng)用和服務(wù)的大眾化平臺——網(wǎng)站系統(tǒng)的安全為研究對象包括服務(wù)器、操作系統(tǒng)、數(shù)據(jù)庫、編程語言和客戶端，分析Web應(yīng)用中存在的各種安全問題、Web網(wǎng)絡(luò)的安全性設(shè)置問題、如何保護(hù)Web站點(diǎn)上的機(jī)密數(shù)據(jù)問題、各種Web服務(wù)器的安全設(shè)置問題和各種程序語言的安全問題。在研究方法上，根據(jù)系統(tǒng)論的觀點(diǎn)，將Web安全的各個(gè)問題分類，按照系統(tǒng)平臺安全、程序安全、數(shù)據(jù)安全和通信安全的結(jié)構(gòu)來組織全文。并采用理論分析與實(shí)踐結(jié)合的方法來書寫文章的內(nèi)容。通過以上分析，得出了一些加強(qiáng)Web安全的可操作性經(jīng)驗(yàn)和對策。這些對策體現(xiàn)了現(xiàn)在通用的最佳實(shí)踐原則。

關(guān)鍵詞： 網(wǎng)站； Web安全 ；系統(tǒng)安全

Research on Web Security’s Countermeasures

Abstract
This thesis researched the security of the website system ，which is the popular Web applications and services platform. This system is include servers, operating system, database, web procedure and the client. The thesis analysis the various security issues of Web applications, how to set up a security configuration, how to protect the confidential data on the website, all kinds of Web server's security settings and various programming language’s security. In the research methods, according to the theory of system, this thesis sort out Web security issues as system Platform security, process security, communication security and security of the data. And the thesis' structure was organized by the classification. The contents of the thesis were written not only by theoretical analysis but also by practice approach. After the research, we got some strengthening of the security Web operational experience and countermeasures. Those countermeasures are in the rule of best practice.

  keyword：Website；Web Security；System Security

目 錄
摘 要 I

Abstract II

目 錄 III

1 緒論 1

1.1 課題背景及目的 1

1.2 國內(nèi)外研究狀況 1

1.3 論文構(gòu)成及研究內(nèi)容 2

2 WEB安全概述 3

2.1 WEB安全的定義 3

2.2 WEB安全面臨的問題 3

2.2.1 WEB服務(wù)器的安全 3

2.2.2 WEB客戶端的安全 3

2.2.3 WEB通信的安全 4

2.3 WEB安全的對策 4

2.3.1 物理安全策略 4

2.3.2 訪問控制策略 4

2.3.3 信息加密策略 5

2.3.4 安全管理策略 5

3 系統(tǒng)平臺安全 6

 3.1 操作系統(tǒng) 6

3.1.1 UNIX操作系統(tǒng) 6

3.1.2  LINUX安全設(shè)置 6

3.1.3  WINDOWS系統(tǒng) 7

3.2 WEB服務(wù)器平臺 8

3.2.1 IIS平臺 8

3.2.1.1 刪除不必要的虛擬目錄 8

3.2.1.2刪除危險(xiǎn)的IIS組件 8

3.2.1.3為IIS中的文件分類設(shè)置權(quán)限 9

3.2.1.4刪除不必要的應(yīng)用程序映射 9

3.2.2 APACHE平臺 10

3.2.2.1 APACHE服務(wù)器的安全特性 10

3.2.2.2 APACHE主要的安全缺陷 10

3.2.2.3 APACHE的安全配置 11

4 程序安全 12

4.1 ASP程序 12

4.1.1 源代碼泄露 12

4.1.2 SQL注入 12

4.2  PHP程序 13

4.2.1 關(guān)閉錯(cuò)誤顯示 13

4.2.2 開啟安全模式 13

4.3 ASP.NET和JSP 程序 14

5 數(shù)據(jù)安全 14

5.1 常用數(shù)據(jù)庫 14

5.1.1 ACCESS數(shù)據(jù)庫 14

5.1.1.1 ACCESS數(shù)據(jù)庫的存儲隱患 14

5.1.1.2 ACCESS數(shù)據(jù)庫的解密隱患 15

5.1.1.3 防止ACCESS數(shù)據(jù)庫被下載 15

5.1.2 MSSQL數(shù)據(jù)庫 15

5.1.2.1使用加密協(xié)議 15

5.1.2.2 修改所使用的TCP/IP端口 16

5.1.3 MYSQL數(shù)據(jù)庫 16

5.1.3.1 帳戶安全 16

5.1.3.2 訪問安全 16

5.2 防盜鏈和采集 16

5.2.1 防盜鏈 17

5.4.2 防采集 17

6 網(wǎng)絡(luò)安全 17

6.1 客戶端安全性 18

6.1.1 ACTIVEX 18

6.1.2 JAVASCRIPT 18

6.1.3 COOKIES 18

6.2 黑客攻擊 18

6.2.1 獲得系統(tǒng)權(quán)限 19

6.2.2 中止WEB服務(wù) 19

6.3 防火墻 19

6.3.1 包過濾防火墻 19

6.3.2 代理防火墻 19

6.3.3 雙穴主機(jī)防火墻 20

總 結(jié) 21

致 謝 21

參考文獻(xiàn) 23

1 緒論
1.1 課題背景及目的
中國的互聯(lián)網(wǎng)發(fā)展已進(jìn)入了第二個(gè)十年，隨著互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施的建設(shè)，人們觀念意識的變革，互聯(lián)網(wǎng)越來越成為人們生活中不可分割的一部分?；诨ヂ?lián)網(wǎng)的Web應(yīng)用如火如荼，迅速發(fā)展，各類網(wǎng)站數(shù)量也呈井噴式增長，隨之而來的，是日益突出的安全問題。不斷被發(fā)現(xiàn)的漏洞，黑客的惡意攻擊，在網(wǎng)絡(luò)上瘋狂爬行的蠕蟲，迅速擴(kuò)散的病毒，盜取虛擬財(cái)物的木馬，所有這一切都令人惶惶不可終日。人們一方面享受著 Web帶來的好處，另一方面卻要忍受著不可預(yù)料的安全威脅。本課題就是針對這種尷尬的現(xiàn)狀，全面地介紹和分析Web服務(wù)和應(yīng)用中存在的各種漏洞和所面臨的各種威脅，探討Web安全問題的對策。

1.2 國內(nèi)外研究狀況
目前和相當(dāng)一段時(shí)間內(nèi)，國內(nèi)外關(guān)于Web安全的研究主要從安全協(xié)議的制定、系統(tǒng)平臺的安全、網(wǎng)站程序的安全編程、安全產(chǎn)品的研發(fā)、Web服務(wù)器的安全控制等方面著手。安全協(xié)議的制定方面，已經(jīng)提出了大量實(shí)用的安全協(xié)議，具有代表性的有：電子商務(wù)協(xié)議SET，IPSec協(xié)議，SSL/TLS協(xié)議，簡單網(wǎng)絡(luò)管理協(xié)議SNMP， PGP協(xié)議，PEM協(xié)議，S-HTTP協(xié)議，S/MIME協(xié)議等。這些協(xié)議的安全性分析特別是電子商務(wù)協(xié)議，IPSec協(xié)議，TLS協(xié)議是當(dāng)前協(xié)議研究中的熱點(diǎn)。系統(tǒng)平臺的安全方面主要研究安全操作系統(tǒng)、安全數(shù)據(jù)庫等，以及現(xiàn)有常用系統(tǒng)(如WINDOWS,UNIX,LINUX)的安全配置；還有就是針對黑客常用的攻擊手段制定安全策略。網(wǎng)站程序的安全編程方面，主要研究規(guī)范化編程以及現(xiàn)有編程語言（ASP,ASP.NET,PHP,CGI,JSP等）的安全配置和發(fā)布增加功能與安全性的新版本。安全產(chǎn)品的研發(fā)方面，目前在市場上比較流行，而又能夠代表未來發(fā)展方向的安全產(chǎn)品大致有以下幾類:防火墻、安全路由器、虛擬專用網(wǎng)VPN、安全服務(wù)器、電子簽證機(jī)構(gòu)CA和PKI產(chǎn)品、用戶認(rèn)證產(chǎn)品、安全管理中心、入侵檢測系統(tǒng)IDS、入侵防御系統(tǒng)IPS等；在上述所有主要的發(fā)展方向和產(chǎn)品種類上，都包含了密碼技術(shù)的應(yīng)用，并且是非?；A(chǔ)性的應(yīng)用。 Web服務(wù)器的安全控制方面，主要研究時(shí)下流行的Apache、IIS的安全缺陷分析與安全配置，如Apache的訪問控制機(jī)制、安全模塊，IIS的安全鎖定等。

1.3 論文構(gòu)成及研究內(nèi)容
本文根據(jù)對Web安全概念做出的定義，分系統(tǒng)安全、程序安全、數(shù)據(jù)安全和通信安全對Web安全問題所涉及的四個(gè)主要方面分章節(jié)做出相應(yīng)的論述。系統(tǒng)安全方面，介紹和分析兩大類操作系統(tǒng)類UNIX和Windows,并對Apache和IIS平臺的安全設(shè)置進(jìn)行了一定分析。程序安全方面，主要介紹了ASP和PHP這兩種個(gè)人常有的編程語言，并對企業(yè)級開發(fā)語言ASP.Net和JSP做了粗略的介紹。通信安全方面，通過對客戶端腳本ActiveX和JavaScript，以及Cookies的研究，大致地對Web客戶端安全做出了分析。數(shù)據(jù)安全方面，一是論述了常見數(shù)據(jù)庫的安全，二是介紹了時(shí)下最新的數(shù)據(jù)安全威脅——盜鏈和采集，并給出了相應(yīng)的解決辦法。

2 WEB安全概述
2.1 WEB安全的定義
Web作為建立在Internet基礎(chǔ)上的應(yīng)用，Web安全的定義不可避免地與網(wǎng)絡(luò)安全和信息安全概念相重疊，其內(nèi)涵和外延可看作網(wǎng)絡(luò)安全和信息安全的一個(gè)子集。網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的因素或者惡意的攻擊而遭到破壞、更改、泄露，確保系統(tǒng)能連續(xù)、可靠、正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。[1]國家信息安全重點(diǎn)實(shí)驗(yàn)室對信息安全給出的定義是：“信息安全涉及到信息的機(jī)密性、完整性、可用性、可控性。綜合起來說，就是要保障電子信息的有效性。”據(jù)此我們給Web安全做出如下定義：Web安全是指信息在網(wǎng)絡(luò)傳輸過程中不丟失、不被篡改和只被授權(quán)用戶使用，包括系統(tǒng)安全、程序安全、數(shù)據(jù)安全和通信安全。本文即根據(jù)此定義分章論述。

2.2 WEB安全面臨的問題
2.2.1 WEB服務(wù)器的安全
在Web安全中，服務(wù)器的安全是最基礎(chǔ)也是最困難的，因?yàn)榉?wù)器的源代碼龐雜，如FreeBSD6.0的匯編行數(shù)達(dá)到1，271，723，OpenBSD則有1，260，707[2]，Windows Vista更是達(dá)到驚人的5000萬行。針對Web服務(wù)器具體的安全威脅主要體現(xiàn)在：服務(wù)器程序編寫不當(dāng)導(dǎo)致的遠(yuǎn)程代碼執(zhí)行；應(yīng)用程序編寫不當(dāng)、過濾不嚴(yán)格造成的代碼注入，可能引起信息泄漏、文件越權(quán)下載、驗(yàn)證繞過、遠(yuǎn)程代碼執(zhí)行等；樂觀相信用戶輸入、過濾不嚴(yán)格導(dǎo)致跨站腳本攻擊，在欺騙管理員的前提下，通過精心設(shè)計(jì)的腳本獲得服務(wù)端Shell；針對服務(wù)器系統(tǒng)的拒絕服務(wù)攻擊。

2.2.2 WEB客戶端的安全
當(dāng)用戶使用瀏覽器查看、編輯網(wǎng)絡(luò)內(nèi)容時(shí)，采用了ActiveX、Java Applet、Cookie等技術(shù)的應(yīng)用程序會(huì)自動(dòng)下載并在客戶機(jī)上運(yùn)行，如果這些程序被惡意使用，可以竊取、改變或刪除客戶機(jī)上的信息。對于惡意程序的侵害，用戶很難實(shí)時(shí)的判斷程序性質(zhì)，因此，在獲得高度交互的Web服務(wù)時(shí)，如何抵御這些安全威脅絕非簡單的客戶端設(shè)置就可以解決的。同時(shí)，跨站腳本攻擊對于客戶端的安全威脅同樣無法忽視，跨站腳本攻擊屬于被動(dòng)式的攻擊，因?yàn)槠浔粍?dòng)且不好利用，所以許多人常忽略其危害性。與之相對的是，利用跨站腳本攻擊的蠕蟲已經(jīng)在網(wǎng)絡(luò)中肆虐過。

2.2.3 WEB通信的安全
和其他的Internet應(yīng)用一樣，Web信道同樣面臨著網(wǎng)絡(luò)嗅探和以擁塞信道、耗費(fèi)資源為目的的拒絕服務(wù)攻擊的威脅。需要注意的是，很多針對Web應(yīng)用的攻擊并非只針對服務(wù)端、客戶端或信道，綜合利用各方面的安全漏洞進(jìn)行攻擊的案例數(shù)不勝數(shù)。

2.3 WEB安全的對策
2.3.1 物理安全策略
物理安全策略的目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實(shí)體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗(yàn)證用戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保計(jì)算機(jī)系統(tǒng)有一個(gè)良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生。抑制和防止電磁泄漏是物理安全策略的一個(gè)主要問題。目前主要防護(hù)措施有兩類：一類是對傳導(dǎo)發(fā)射的防護(hù)，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉耦合。另一類是對輻射的防護(hù)，這類防護(hù)措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設(shè)備的金屬屏蔽和各種接插件的屏蔽，同時(shí)對機(jī)房的下水管、暖氣管和金屬門窗進(jìn)行屏蔽和隔離；二是干擾的防護(hù)措施，即在計(jì)算機(jī)系統(tǒng)工作的同時(shí)，利用干擾裝置產(chǎn)生一種與計(jì)算機(jī)系統(tǒng)輻射相關(guān)的偽噪聲向空間輻射來掩蓋計(jì)算機(jī)系統(tǒng)的工作頻率和信息特征。

2.3.2 訪問控制策略
訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用，但訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。訪問控制策略主要包括入網(wǎng)訪問控制、網(wǎng)絡(luò)的權(quán)限控制、目錄級安全控制、屬性安全控制、網(wǎng)絡(luò)服務(wù)器安全控制、網(wǎng)絡(luò)監(jiān)測和鎖定控制、網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制和防火墻控制。

2.3.3 信息加密策略
信息加密的目的是保護(hù)Web服務(wù)的數(shù)據(jù)、文件、密碼和控制信息，保護(hù)網(wǎng)上傳輸?shù)臄?shù)據(jù)。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點(diǎn)加密和節(jié)點(diǎn)加密三種。鏈路加密的目的是保護(hù)網(wǎng)絡(luò)節(jié)點(diǎn)之間的鏈路信息安全；端點(diǎn)加密的目的是對源端用戶到目的端用戶的數(shù)據(jù)提供保護(hù)；節(jié)點(diǎn)加密的目的是對源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間的傳輸鏈路提供保護(hù)。用戶可根據(jù)網(wǎng)絡(luò)情況酌情選擇上述加密方式。

2.3.4 安全管理策略
在網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，加強(qiáng)網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對于確保網(wǎng)絡(luò)的安全、可靠地運(yùn)行，將起到十分有效的作用。網(wǎng)絡(luò)的安全管理策略包括：確定安全管理等級和安全管理范圍；制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入機(jī)房管理制度；制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施等。

3 系統(tǒng)平臺安全
作為Web應(yīng)用的基礎(chǔ)，操作系統(tǒng)以及提供Web服務(wù)的應(yīng)用軟件的安全直接關(guān)系到整個(gè)Web服務(wù)和應(yīng)用的安全。Internet發(fā)展到現(xiàn)在，用于實(shí)現(xiàn)Web服務(wù)的操作系統(tǒng)主要是類UNIX系統(tǒng)(包括AIX,HP-UX,SCO, FreeBSD, NetBSD, OpenBSD,Solaris,Linux發(fā)行版等)和windows系統(tǒng)，搭建Web服務(wù)的平臺則主要使用Apache和IIS。本章將對他們的安全性和設(shè)置進(jìn)行大致的分析和說明。

 3.1 操作系統(tǒng)
3.1.1 UNIX操作系統(tǒng)
UNIX于1969年產(chǎn)生于AT&T貝爾實(shí)驗(yàn)室，并同時(shí)誕生了劃時(shí)代的編程語言C。在三十多年的發(fā)展過程中，產(chǎn)生了眾多分支。比較著名的有：SUN公司的SunOS，后來發(fā)展為跨平臺的工作站操作系統(tǒng)Solaris；同樣基于加州大學(xué)伯克利分校BSD的NetBSD、FreeBSD和OpenBSD，其中FreeBSD因易于在PC上安裝而影響巨大，NetBSD注重于不同的CPU 結(jié)構(gòu)和網(wǎng)絡(luò)服務(wù)，OpenBSD注重安全性；還有就是由芬蘭赫爾辛基大學(xué)Linus Torvalds開創(chuàng)的Linux和眾多的發(fā)行版，如RedHat,Suse,Novell,Debian,Turbolinux。隨著中國計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，國人也開發(fā)出了眾多的類UNIX系統(tǒng)，如國防科大的麒麟，中科院的紅旗，為中國的信息化建設(shè)提供了安全的基礎(chǔ)平臺。  

典型的UNIX安全漏洞有守護(hù)進(jìn)程程序的錯(cuò)誤使入侵者可以直接獲得root權(quán)限，一些應(yīng)用的遠(yuǎn)程漏洞，本地漏洞，暴露系統(tǒng)信息等。對于典型的安全隱患要做到及時(shí)發(fā)現(xiàn)，立即消除。還要進(jìn)行常規(guī)檢查，經(jīng)常注意應(yīng)用程序的官方更新，及時(shí)打好補(bǔ)丁。

3.1.2  LINUX安全設(shè)置
一般來說，對Linux系統(tǒng)的安全設(shè)置包括取消不必要的服務(wù)、限制系統(tǒng)的出入、保持最新的系統(tǒng)核心、修補(bǔ)安全漏洞、檢查登錄密碼、設(shè)定用戶賬號的安全等級、增強(qiáng)安全防護(hù)工具、采用安全工具以及經(jīng)常性的安全檢查等。在采用安全工具以及經(jīng)常性的安全檢查方面，在此介紹幾個(gè)工具。

Nessus安全漏洞掃描器可以遠(yuǎn)程檢查與網(wǎng)絡(luò)有關(guān)的安全漏洞以及丟失的軟件補(bǔ)丁和系統(tǒng)上的其它漏洞。Nessus軟件可用來測試新安裝的系統(tǒng)，也可以在維護(hù)期內(nèi)檢測工作中的服務(wù)器。

Nmap工具是另一種網(wǎng)絡(luò)掃描器，不過應(yīng)用不廣泛。這個(gè)工具在Linux中可缺省安裝。這個(gè)工具對于那些不適應(yīng)配置Linux軟件的IT工作人員來說是非常有用的。非常關(guān)注安全的公司將把以太網(wǎng)接口連接到具有防火墻保護(hù)的接口。這些公司還在這些接口連接能夠檢測網(wǎng)絡(luò)通信的專用的包檢測服務(wù)器。然后用ACID等工具分析這個(gè)信息，并且把這個(gè)信息同能夠通過防火墻的以前的攻擊進(jìn)行比較。

ACID能夠創(chuàng)建一個(gè)報(bào)警的電子郵件，并且通過網(wǎng)絡(luò)GUI(圖形用戶界面)顯示有關(guān)可疑的數(shù)據(jù)包的詳細(xì)信息。

3.1.3  WINDOWS系統(tǒng)
Windows作為微軟Microsoft軟件帝國的城基，因其易學(xué)易用的特點(diǎn)而在桌面系統(tǒng)領(lǐng)域占據(jù)著統(tǒng)治地位。同時(shí)，隨著眾多業(yè)余編程用戶的加入，使得Windows的服務(wù)器系統(tǒng)得到了越來越多的應(yīng)用，在我國，70%的用戶使用windows系統(tǒng)作為服務(wù)器系統(tǒng)。但Windows操作系統(tǒng)的大多數(shù)版本有一個(gè)共性：默認(rèn)安裝后安全性都非常差。比較明顯的一個(gè)例子就是在用戶登陸后，每個(gè)用戶都具有硬盤分區(qū)的訪問控制權(quán)。另外，系統(tǒng)還開放了一些服務(wù)（如Messenger服務(wù)),允許通過迂回的方式繞過用戶審核直接進(jìn)入系統(tǒng)。

如果要用一句簡單的話來對比UNIX和Windows的安全性，那么可以說：UNIX系統(tǒng)默認(rèn)把所有服務(wù)都關(guān)閉，用什么開什么；Windows系統(tǒng)默認(rèn)所有服務(wù)都開啟，不用什么關(guān)什么。當(dāng)然這句話是有失偏頗的，只是說明了我們要對Windows進(jìn)行安全設(shè)置，需要關(guān)閉一些服務(wù)。

以windows servers 2003為例，我們可以進(jìn)行如下設(shè)置來提高windows系統(tǒng)的安全：用戶設(shè)置上，Administrators 角色最好不要超過兩個(gè)，為管理員用戶設(shè)置一個(gè)健壯（8位以上包含字母數(shù)字符號）的密碼，為管理員改名等。文件系統(tǒng)權(quán)限上，C盤只給administrators 和system權(quán)限，Windows目錄要加上給users的默認(rèn)權(quán)限，否則ASP和ASPX等應(yīng)用程序就無法運(yùn)行。另外，將net.exe ,

cmd.exe ,tftp.exe ,netstat.exe ,regedit.exe ,at.exe ,attrib.exe,format.exe 這些文件都設(shè)置只允許administrators訪問。網(wǎng)絡(luò)通信上，啟用WIN2003的自身帶的網(wǎng)絡(luò)防火墻，并進(jìn)行端口的改變。Internet 連接防火墻可以有效地?cái)r截對Windows 2003服務(wù)器的非法入侵，防止非法遠(yuǎn)程主機(jī)對服務(wù)器的掃描，提高Windows 2003服務(wù)器的安全性。同時(shí)，也可以有效攔截利用操作系統(tǒng)漏洞進(jìn)行端口攻擊的病毒，如沖擊波等蠕蟲病毒。還有就是通過更改一些注冊表項(xiàng)來防止SYN洪水攻擊、ICMP重定向報(bào)文攻擊以及關(guān)閉默認(rèn)共享。

3.2 WEB服務(wù)器平臺
世界上很多公司都開發(fā)了提供Web服務(wù)的平臺軟件，知名的有Microsoft IIS、IBM Web Sphere 、Oracle IAS、Apache和Tomcat,本文主要介紹常用的IIS和Apache的相關(guān)安全問題。

3.2.1 IIS平臺
IIS是 Internet Information Server的縮寫，它是微軟公司主推的Web服務(wù)平臺，最新的版本是VISTA里面包含的IIS 7.0。IIS的安裝，管理和配置都相當(dāng)簡單，這是因?yàn)镮IS與Windows NT Server網(wǎng)絡(luò)操作系統(tǒng)緊密的集成在一起，另外，IIS還使用與Windows NT Server相同的SAM（Security Accounts Manager，安全性賬號管理器），對于管理員來說，IIS使用諸如Performance Monitor和SNMP（Simple Network Management Protocol，簡單網(wǎng)絡(luò)管理協(xié)議）之類的NT已有管理工具。IIS支持ISAPI，使用ISAPI可以擴(kuò)展服務(wù)器功能，可以實(shí)現(xiàn)Win2003下支持PHP,CGI,JSP程序。

下面主要分析以Win2003為基礎(chǔ)的IIS6的安全配置。

3.2.1.1 刪除不必要的虛擬目錄
IIS安裝完成后在wwwroot下默認(rèn)生成了一些目錄，并默認(rèn)設(shè)置了幾個(gè)虛擬目錄，包括IISHelp、IISAdmin、IISSamples、 MSADC等，它們的實(shí)際位置有的是在系統(tǒng)安裝目錄下，有的是在重要的Program files下，從安全的角度來看很不安全，而且這些設(shè)置實(shí)際也沒有太大的作用，所以我們可以刪除這些不必要的虛擬目錄。

3.2.1.2刪除危險(xiǎn)的IIS組件
默認(rèn)安裝后的有些IIS組件可能會(huì)造成安全威脅，應(yīng)該從系統(tǒng)中去掉，以下組件可以根據(jù)自己的需要決定是否刪除。

Internet服務(wù)管理器:這是基于Web 的IIS服務(wù)器管理頁面，一般情況下不應(yīng)通過Web進(jìn)行管理，建議卸載它。

SMTP Service和NNTP Service:如果不打算使用服務(wù)器轉(zhuǎn)發(fā)郵件和提供新聞組服務(wù)，就可以刪除這兩項(xiàng)，否則，可能因?yàn)樗鼈兊穆┒磶硇碌牟话踩?

樣本頁面和腳本:這些樣本中有些是專門為顯示IIS的強(qiáng)大功能設(shè)計(jì)的，但同樣可被用來從Internet上執(zhí)行應(yīng)用程序和瀏覽服務(wù)器，建議刪除。

3.2.1.3為IIS中的文件分類設(shè)置權(quán)限
除了在操作系統(tǒng)里為IIS的文件設(shè)置必要的權(quán)限外，還要在IIS管理器中為它們設(shè)置權(quán)限，以期做到雙保險(xiǎn)。一般而言，對一個(gè)文件夾永遠(yuǎn)也不應(yīng)同時(shí)設(shè)置寫和執(zhí)行權(quán)限，以防止攻擊者向站點(diǎn)上傳并執(zhí)行惡意代碼。另外目錄瀏覽功能也應(yīng)禁止，預(yù)防攻擊者把站點(diǎn)上的文件夾瀏覽個(gè)遍最后找到漏洞。一個(gè)好的設(shè)置策略是: 為Web 站點(diǎn)上不同類型的文件都建立目錄，然后給它們分配適當(dāng)權(quán)限。例如:

靜態(tài)文件文件夾:包括所有靜態(tài)文件，如HTM 或HTML，給予允許讀取、拒絕寫的權(quán)限。

ASP腳本文件夾:包含站點(diǎn)的所有腳本文件，如cgi、vbs、asp等等，給予允許執(zhí)行、拒絕寫和讀取的權(quán)限。

EXE等可執(zhí)行程序:包含站點(diǎn)上的二進(jìn)制執(zhí)行文件，給予允許執(zhí)行、拒絕寫和拒絕讀取的權(quán)限。

3.2.1.4刪除不必要的應(yīng)用程序映射
IIS中默認(rèn)存在很多種應(yīng)用程序映射，如.htw、.ida、.idq、.asp、.cer、.cdx、

.asa、.htr、.idc、.shtm、. shtml、.stm、.printer等，通過這些程序映射，IIS就能知道對于什么樣的文件該調(diào)用什么樣的動(dòng)態(tài)鏈接庫文件來進(jìn)行解析處理。但是，在這些程序映射中，除了.asp的這個(gè)程序映射，其它的文件在網(wǎng)站上都很少用到。而且在這些程序映射中，.htr、.idq/ida、.printer等多個(gè)程序映射都已經(jīng)被發(fā)現(xiàn)存在緩存溢出問題，入侵者可以利用這些程序映射中存在的緩存溢出獲得系統(tǒng)的權(quán)限。即使已經(jīng)安裝了系統(tǒng)最新的補(bǔ)丁程序，仍然沒法保證安全。所以我們需要將這些不需要的程序映射刪除。在“Internet服務(wù)管理器”中，右擊網(wǎng)站目錄，選擇“屬性”，在網(wǎng)站目錄屬性對話框的“主目錄”頁面中，點(diǎn)擊“配置”按鈕，彈出“應(yīng)用程序配置”對話框，在“應(yīng)用程序映射”頁面，刪除無用的程序映射。如果需要這一類文件時(shí)，必須安裝最新的系統(tǒng)修補(bǔ)程序以解決程序映射存在的問題，并且選中相應(yīng)的程序映射，再點(diǎn)擊“編輯”按鈕，在“添加/編輯應(yīng)用程序擴(kuò)展名映射”對話框中勾選 “檢查文件是否存在”選項(xiàng)。這樣當(dāng)客戶請求這類文件時(shí)，IIS會(huì)先檢查文件是否存在，文件存在后才會(huì)去調(diào)用程序映射中定義的動(dòng)態(tài)鏈接庫來解析。

3.2.2 APACHE平臺
作為最流行的Web服務(wù)平臺，Apache Server提供了較好的安全特性，使其能夠應(yīng)對可能的安全威脅和漏洞。

3.2.2.1 APACHE服務(wù)器的安全特性
Apache 的安全模塊 mod_access模塊能夠根據(jù)訪問者的IP地址（或域名，主機(jī)名等）來控制對Apache服務(wù)器的訪問，稱之為基于主機(jī)的訪問控制。mod_auth 模塊用來控制用戶和組的認(rèn)證授權(quán)（Authentication）。用戶名和口令存于純文本文件中。mod_auth_db和 mod_auth_dbm模塊則分別將用戶信息（如名稱、組屬和口令等）存于Berkeley-DB及DBM型的小型數(shù)據(jù)庫中，便于管理及提高應(yīng)用效率。mod_auth_digest模塊則采用MD5數(shù)字簽名的方式來進(jìn)行用戶的認(rèn)證，但它相應(yīng)的需要客戶端的支持。mod_auth_anon模塊的功能和mod_auth的功能類似，只是它允許匿名登錄，將用戶輸入的E-mail地址作為口令。mod_ssl模塊是安全套接字層協(xié)議SSL在Apache下的實(shí)現(xiàn)，為Internet上安全交易提供服務(wù)，如電子商務(wù)。通過對通訊字節(jié)流的加密來防止敏感信息的泄漏。Apache的這種支持是建立在對Apache的API擴(kuò)展來實(shí)現(xiàn)的，相當(dāng)于一個(gè)外部模塊，通過與第三方程序的結(jié)合提供安全的網(wǎng)上交易支持。

3.2.2.2 APACHE主要的安全缺陷
使用HTTP協(xié)議進(jìn)行的拒絕服務(wù)攻擊(denial of service)：這種攻擊方法的攻擊者會(huì)通過某些手段使服務(wù)器拒絕對正常HTTP請求做出的應(yīng)答。主要是使Apache對系統(tǒng)資源(CPU時(shí)間和內(nèi)存)需求劇增，最終造成Apache系統(tǒng)變慢甚至完全癱瘓。

緩沖區(qū)溢出：該方法攻擊者利用程序編寫的一些缺陷，使程序偏離正常的流程。程序使用靜態(tài)分配的內(nèi)存保存請求數(shù)據(jù)，攻擊者就可以發(fā)送一個(gè)超長請求使緩沖區(qū)溢出。

攻擊者獲得root權(quán)限：該安全缺陷主要是因?yàn)锳pache服務(wù)器一般以root權(quán)限運(yùn)行，攻擊者會(huì)通過它獲得root權(quán)限，進(jìn)而控制整個(gè)Apache系統(tǒng)。

3.2.2.3 APACHE的安全配置
Apache Web服務(wù)器主要有三個(gè)配置文件，均位于/usr/local/apache/conf目錄下。這三個(gè)文件是：httpd.conf主配置文件,srm.conf添加資源文件,access.conf設(shè)置文件的訪問權(quán)限。Apache的一些功能實(shí)現(xiàn)和安全配置主要是在httpd.conf文件中進(jìn)行。

以Nobody用戶運(yùn)行    一般情況下，Apache是由Root 來安裝和運(yùn)行的。如果Apache Server進(jìn)程具有Root用戶特權(quán)，那么它將給系統(tǒng)的安全構(gòu)成很大的威脅，應(yīng)確保Apache Server進(jìn)程以最可能低的權(quán)限用戶來運(yùn)行。通過修改httpd.conf文件中的User選項(xiàng)，以Nobody用戶運(yùn)行Apache可以達(dá)到相對安全的目的。
    ServerRoot目錄的權(quán)限     為了確保所有的配置是適當(dāng)?shù)暮桶踩?，需要?yán)格控制Apache 主目錄的訪問權(quán)限，使非超級用戶不能修改該目錄中的內(nèi)容。Apache 的主目錄對應(yīng)于Apache Server配置文件httpd.conf的Server Root控制項(xiàng)中，應(yīng)為：Server Root /usr/local/apache
    SSI的配置     在配置文件access.conf 或httpd.conf中的Options指令處加入Includes NO EXEC選項(xiàng)，用以禁用Apache Server 中的執(zhí)行功能。避免用戶直接執(zhí)行Apache 服務(wù)器中的執(zhí)行程序，而造成服務(wù)器系統(tǒng)的公開化。Options Includes No exec
阻止用戶修改系統(tǒng)設(shè)置    在Apache 服務(wù)器的配置文件httpd.conf中進(jìn)行以下的設(shè)置，阻止用戶建立、修改 .htaccess文件，防止用戶超越能定義的系統(tǒng)安全特性。AllowOveride None  Options None  Allow from all  然后再分別對特定的目錄進(jìn)行適當(dāng)?shù)呐渲谩?br />  改變Apache 服務(wù)器的確省訪問特性  Apache 的默認(rèn)設(shè)置只能保障一定程度的安全，如果服務(wù)器能夠通過正常的映射規(guī)則找到文件，那么客戶端便會(huì)獲取該文件，如 host/~ root/ 將允許用戶訪問整個(gè)文件系統(tǒng)。在服務(wù)器的配置文件httpd.conf中加入如下內(nèi)容：order deny,ellow  Deny from all將禁止對文件系統(tǒng)的缺省訪問。

4 程序安全
4.1 ASP程序
ASP全稱Active Server Pages，是微軟推出的用來取代CGI（Common Gateway Interface）的動(dòng)態(tài)服務(wù)器網(wǎng)頁技術(shù)。使用它可以創(chuàng)建和運(yùn)行動(dòng)態(tài)、交互的 Web 服務(wù)器應(yīng)用程序。使用 ASP 可以組合 HTML 頁、腳本命令和 ActiveX 組件以創(chuàng)建交互的 Web 頁和基于 Web 的功能強(qiáng)大的應(yīng)用程序。ASP可運(yùn)行的服務(wù)器端平臺包括：WinNT、Win2k、WinXP和Win2003，在Win98環(huán)境下裝上PWS4.0也可以運(yùn)行。由于ASP比較簡單易學(xué)，又有微軟這個(gè)強(qiáng)大后臺的支持，所以應(yīng)用比較廣泛，所發(fā)現(xiàn)的缺陷和針對各程序的漏洞也比較多。

我們這里主要討論ASP的兩個(gè)安全問題：源代碼泄露和SQL注入。

4.1.1 源代碼泄露
由于ASP程序采用的是非編譯性語言，這大大降低了程序源代碼的安全性。任何人只要進(jìn)入站點(diǎn)，就可以獲得源代碼，從而造成ASP應(yīng)用程序源代碼的泄露。黑客常常使用在URL后加::$DATA 、+.htr、%5C、%81等字符來查看源代碼，進(jìn)而得到用戶名和密碼，為接下來的入侵做準(zhǔn)備?；蛘咧苯拥玫綌?shù)據(jù)庫地址，達(dá)到獲得網(wǎng)站數(shù)據(jù)的目的。

對ASP頁面進(jìn)行加密為有效地防止ASP源代碼泄露，可以對ASP頁面進(jìn)行加密。一般有兩種方法對ASP頁面進(jìn)行加密。一種是使用組件技術(shù)將編程邏輯封裝入DLL之中；另一種是使用微軟的Script Encoder對ASP頁面進(jìn)行加密。使用組件技術(shù)存在的主要問題是每段代碼均需組件化，操作比較煩瑣，工作量較大；而使用Script Encoder對ASP頁面進(jìn)行加密，操作簡單、收效良好。

4.1.2 SQL注入
ＳＱＬ注入的原理，就是從客戶端提交特殊的代碼，從而收集程序、數(shù)據(jù)庫及服務(wù)器的信息，進(jìn)而獲取你想到得到的資料。

SQL注入的一般步驟是：首先，判斷環(huán)境，尋找注入點(diǎn)，判斷數(shù)據(jù)庫類型。其次，根據(jù)注入?yún)?shù)類型，在腦海中重構(gòu)SQL語句的原貌。接著，將查詢條件替換成SQL語句，猜解表名。表名猜出來后，將Count(*)替換成Count(字段名)，用同樣的原理猜解字段名。最后，在表名和列名猜解成功后，再使用SQL語句，得出字段的值。

4.2  PHP程序
PHP最初是被稱作Personal Home Page，后來隨著PHP成為一種非常流行的腳本語言，名稱也隨之改變了，叫做Professional HyperText PreProcessor。以PHP4.2為例支持它的WEB服務(wù)器有：Apache, Microsoft Internet information Serve, Microsoft Personal web Server,AOLserver,Netscape Enterprise 等等。PHP的安全除了更新版本外，主要同其配置文件php.ini相關(guān)，設(shè)置需要注意如下問題：

4.2.1 關(guān)閉錯(cuò)誤顯示
php缺省是打開錯(cuò)誤信息顯示的,我們可以在php.ini中找到display_errors = On并把它設(shè)置為off從而關(guān)閉錯(cuò)誤顯示。關(guān)閉錯(cuò)誤顯示后，php函數(shù)執(zhí)行錯(cuò)誤的信息將不會(huì)再顯示給用戶，這樣能在一定程度上防止攻擊者從錯(cuò)誤信息得知腳本的物理位置，以及一些其它有用的信息，起碼給攻擊者的黑箱檢測造成一定的障礙。這些錯(cuò)誤信息可能對我們自己有用，可以讓它寫到指定文件中去，那么修改log_errors = Off 為log_errors = On 以及指定文件，找到下面這行： ;error_log = filename 去掉前面的;注釋，把filename改為指定文件， error_log = /usr/local/apache/logs/php_error.log 這樣所有的錯(cuò)誤都會(huì)寫到php_error.log文件里。

4.2.2 開啟安全模式
php的safe_mode功能對很多函數(shù)進(jìn)行了限制或禁用了，能在很大程度解決php的安全問題。在 Safe Mode部分找到： safe_mode = Off 改為： safe_mode = On 這樣就打開了safe_mode功能。象一些能執(zhí)行系統(tǒng)命令的函數(shù)shell_exec()和``被禁止，其它的一些執(zhí)行函數(shù)如：exec(), system(), passthru(), popen()將被限制只能執(zhí)行 safe_mode_exec_dir指定目錄下的程序。如果你實(shí)在是要執(zhí)行一些命令或程序，可以設(shè)置 safe_mode_exec_dir = /usr/local/php/exec 然后把要用的程序拷到/usr/local/php/exec目錄下，這樣，象上面的被限制的函數(shù)還能執(zhí)行該目錄里的程序。

4.3 ASP.NET和JSP 程序
ASP.Net 是Microsoft微軟基于.NET Framework 的Web應(yīng)用程序編程語言，能夠建立強(qiáng)大的Web應(yīng)用程序。ASP.Net不僅僅是ASP的下一個(gè)版本；它還提供了一個(gè)統(tǒng)一的 Web 開發(fā)模型，其中包括開發(fā)人員生成企業(yè)級 Web 應(yīng)用程序所需的各種服務(wù)。ASP.Net的語法在很大程度上與 ASP 兼容，同時(shí)它還提供一種新的編程模型和結(jié)構(gòu)，可生成伸縮性和穩(wěn)定性更好的應(yīng)用程序，并提供更好的安全保護(hù)。ASP.NET 安全性與 Microsoft Internet 信息服務(wù) (IIS) 安全性協(xié)同工作，包括身份驗(yàn)證和授權(quán)服務(wù)以實(shí)現(xiàn) ASP.Net 安全模型。ASP.Net還包括一個(gè)基于角色的安全功能，您可以為 Microsoft Windows 和非 Windows 用戶帳戶實(shí)現(xiàn)該功能。

JSP, Java Server Pages是由Sun Microsystems公司倡導(dǎo)、許多公司參與一起建立的一種動(dòng)態(tài)網(wǎng)頁技術(shù)標(biāo)準(zhǔn)。 在傳統(tǒng)的網(wǎng)頁HTML文件(*.htm, *.html)中加入Java程序片段 (Script let)和JSP標(biāo)記(tag)，就構(gòu)成了JSP網(wǎng)頁(*.jsp)，Web服務(wù)器在遇到訪問JSP網(wǎng)頁的請求時(shí)，首先執(zhí)行其中的程序片段，然后將執(zhí)行結(jié)果以HTML格式返回給客戶。目前已經(jīng)發(fā)現(xiàn)的JSP安全問題主要是源代碼暴露和遠(yuǎn)程程序執(zhí)行。源代碼暴露主要指的是程序源代碼會(huì)以明文的方式返回給訪問者，添加特殊后綴、插入特殊字符串、文件不存在和路徑權(quán)限問題都會(huì)造成源代碼的暴露。遠(yuǎn)程程序執(zhí)行類漏洞的特點(diǎn)就是可以通過URL 地址在瀏覽器中執(zhí)行任意服務(wù)器上的命令和程序，從而引起安全問題?？梢酝ㄟ^下載最新的補(bǔ)丁來解決這些問題。

5 數(shù)據(jù)安全
Web服務(wù)的數(shù)據(jù)主要包括數(shù)據(jù)庫，靜態(tài)頁面和媒體數(shù)據(jù)。本文所述數(shù)據(jù)安全主要指常用數(shù)據(jù)庫不被非法訪問和靜態(tài)頁面和媒體數(shù)據(jù)不被非授權(quán)使用，下文將分節(jié)論述這兩個(gè)問題。

5.1 常用數(shù)據(jù)庫
5.1.1 ACCESS數(shù)據(jù)庫
5.1.1.1 ACCESS數(shù)據(jù)庫的存儲隱患
在ASP＋Access應(yīng)用系統(tǒng)中，如果獲得或者猜到Access數(shù)據(jù)庫的存儲路徑和數(shù)據(jù)庫名，則該數(shù)據(jù)庫就可以被下載到本地。例如：對于網(wǎng)上書店的Access數(shù)據(jù)庫，人們一般命名為book.mdb、store.mdb等，而存儲的路徑一般為“URL/database”或干脆放在根目錄（“URL/”）下。這樣，只要在瀏覽器地址欄中敲入地址：“URL/database/store.mdb”，就可以輕易地把store.mdb下載到本地的機(jī)器中。

5.1.1.2 ACCESS數(shù)據(jù)庫的解密隱患
由于Access數(shù)據(jù)庫的加密機(jī)制非常簡單，所以即使數(shù)據(jù)庫設(shè)置了密碼，解密也很容易。該數(shù)據(jù)庫系統(tǒng)通過將用戶輸入的密碼與某一固定密鑰進(jìn)行異或來形成一個(gè)加密串，并將其存儲在＊.mdb文件中從地址“＆H42”開始的區(qū)域內(nèi)。由于異或操作的特點(diǎn)是“經(jīng)過兩次異或就恢復(fù)原值”，因此，用這一密鑰與＊.mdb文件中的加密串進(jìn)行第二次異或操作，就可以輕松地得到Access數(shù)據(jù)庫的密碼?；谶@種原理，可以很容易地編制出解密程序。

5.1.1.3 防止ACCESS數(shù)據(jù)庫被下載
在數(shù)據(jù)庫新建一個(gè)表，表名為<%safe就可以了，這樣IIS在解析的時(shí)候會(huì)出現(xiàn)500錯(cuò)誤，數(shù)據(jù)庫也就不會(huì)被下載了。

在你的數(shù)據(jù)庫文件名后門加上# （不是擴(kuò)展名，比如name#.mdb）這樣IIS就以為你是在請求該目錄中默認(rèn)的文件名，比如index. asp，如果IIS找不到就會(huì)發(fā)出403禁止瀏覽目錄的錯(cuò)誤警告。

在IIS中是把數(shù)據(jù)庫所在的目錄設(shè)為不可讀，這樣就可以防止被下載，這樣做也不會(huì)影響asp程序的正常使用。

直接使用數(shù)據(jù)源 (ODBC)這樣數(shù)據(jù)庫就可以不用在web目錄里面，從而徹底防止被下載。

5.1.2 MSSQL數(shù)據(jù)庫
5.1.2.1使用加密協(xié)議
SQL Server 使用的Tabular Data Stream協(xié)議來進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)交換，如果不加密的話，所有的網(wǎng)絡(luò)傳輸都是明文的，包括密碼、數(shù)據(jù)庫內(nèi)容等等，這是一個(gè)很大的安全威脅。能被人在網(wǎng)絡(luò)中截獲到他們需要的東西，包括數(shù)據(jù)庫帳號和密碼。所以，在條件容許情況下，最好使用SSL來加密協(xié)議，當(dāng)然，你需要一個(gè)證書來支持。

5.1.2.2 修改所使用的TCP/IP端口
默認(rèn)情況下，SQL Server使用1433端口監(jiān)聽，很多攻擊都基于此，所以我們應(yīng)該改變這個(gè)端口。方法是在實(shí)例屬性中選擇TCP/IP協(xié)議的屬性，選擇隱藏 SQL Server 實(shí)例，然后在實(shí)例屬性中選擇網(wǎng)絡(luò)配置中的TCP/IP協(xié)議的屬性，將TCP/IP使用的默認(rèn)端口變?yōu)槠渌丝凇?

5.1.3 MYSQL數(shù)據(jù)庫
5.1.3.1 帳戶安全
刪除mysql中的所有默認(rèn)用戶，只保留本地root賬戶，為root用戶加上一個(gè)復(fù)雜的密碼。賦予普通用戶 update、delete、alert、create、drop權(quán)限的時(shí)候，并限定到特定的數(shù)據(jù)庫，尤其要避免普通客戶擁有對mysql數(shù)據(jù)庫操作的權(quán)限。檢查 mysql.user表，取消不必要用戶的shutdown_priv，reload_priv，process_priv和 File_priv權(quán)限，這些權(quán)限可能泄漏更多的服務(wù)器信息包括非mysql的其它信息出去?？梢詾閙ysql設(shè)置一個(gè)啟動(dòng)用戶，該用戶只對mysql目錄有權(quán)限。設(shè)置安裝目錄的data數(shù)據(jù)庫的權(quán)限（此目錄存放了mysql數(shù)據(jù)庫的數(shù)據(jù)信息）。對于mysql安裝目錄給users加上讀取、列目錄和執(zhí)行權(quán)限。

5.1.3.2 訪問安全
MySQL服務(wù)器通過在MySQL數(shù)據(jù)庫中的授權(quán)表提供了一個(gè)靈活的權(quán)限系統(tǒng)。你可以設(shè)置這些表的內(nèi)容，允許或拒絕客戶對數(shù)據(jù)庫的訪問，這提供了防止未授權(quán)的網(wǎng)絡(luò)訪問對你數(shù)據(jù)庫攻擊的安全手段。所需要做的是保證數(shù)據(jù)庫文件對于各個(gè)用戶的私有性和日志文件的只讀性。

5.2 防盜鏈和采集
盜鏈和采集是國內(nèi)個(gè)人網(wǎng)站大量發(fā)展后產(chǎn)生的，主要是因?yàn)閭€(gè)人站長沒有資金和精力來創(chuàng)作大量的信息資源。同時(shí)，在利益的驅(qū)使下，個(gè)人站長開始批量的建設(shè)垃圾站。這種垃圾站成本較低，主要是域名注冊費(fèi)的虛擬空間租用費(fèi)，收益卻很高，一般可以做到每月近百美元。因此，他們制作小偷程序和采集程序來大理盜鏈和采集一些優(yōu)秀站點(diǎn)的資源，并通過SEO獲得較高的搜索流量。

5.2.1 防盜鏈
盜鏈?zhǔn)侵敢粋€(gè)網(wǎng)站通過對目標(biāo)網(wǎng)站資源結(jié)構(gòu)進(jìn)行分析，并通過編制程序而大量的鏈接目標(biāo)網(wǎng)站的圖片、音頻、視頻文件。主要是一些小網(wǎng)站為了增加流量而盜取一些有實(shí)力的大網(wǎng)站的資源。一般的防盜鏈可以通過WEB服務(wù)器的URL過濾技術(shù)解決，如APACHE自帶的URL Rewrite功能，其原理是檢查REFER，如果REFER的信息來自其他網(wǎng)站則禁止訪問所需要的資源。IIS平臺可以使用第三方的ISAPI_Rewrite，其LITE版本是免費(fèi)的，下載地址為：

如果預(yù)算允許的話，也可以使用收費(fèi)的防盜鏈技術(shù)，如國內(nèi)的UU防盜鏈和VirtualWall和國外的ISAPI_Rewrite。

5.4.2 防采集
采集是指分析目標(biāo)網(wǎng)站的頁面結(jié)構(gòu)，找出規(guī)律，然后讀取內(nèi)容，并保存到本地的過程?，F(xiàn)在防采集的方法主要有：判斷一個(gè)IP在一定時(shí)間內(nèi)對本站頁面的訪問次數(shù)，如果明顯超過了正常人瀏覽速度，就拒絕此IP訪問，這種方法比較費(fèi)時(shí)間；用JavaScript加密內(nèi)容頁面；把內(nèi)容頁面里的特定標(biāo)記替換為[color=Red]“特定標(biāo)記+隱藏版權(quán)文字”[/color]；只允許用戶登陸后才可以瀏覽；只允許通過本站頁面連接查看，如：Request.ServerVariables("HTTP_REFERER")；使用隨機(jī)模板。

6 網(wǎng)絡(luò)安全
本文所講的網(wǎng)絡(luò)安全主要是指Web應(yīng)用中的網(wǎng)絡(luò)通信安全，重點(diǎn)介紹客戶端的安全，并對黑客攻擊做了初步的介紹，然后介紹了預(yù)防網(wǎng)絡(luò)攻擊的常用工具——防火墻常見的三種類型。

6.1 客戶端安全性
6.1.1 ACTIVEX
ActiveX是Microsoft開發(fā)的，用來從因特網(wǎng)上自動(dòng)下載可執(zhí)行的機(jī)器代碼的技術(shù)、協(xié)議和API的集合。 ActiveX控件能完成下載病毒、安裝木馬到格式化硬盤等一系列的危險(xiǎn)操作，對此的安全對策是在訪問網(wǎng)站時(shí)只安裝經(jīng)過認(rèn)證的普遍使用的ActiveX控件。實(shí)際操作是在IE的Internet選項(xiàng)中安全下選擇中級。

6.1.2 JAVASCRIPT
JavaScript被設(shè)計(jì)為通過瀏覽器來處理并顯示信息，但它不能修改任何文件中的內(nèi)容。也就是說，它不能將數(shù)據(jù)存放在Web服務(wù)器或用戶的計(jì)算機(jī)上，更不能對用戶文件進(jìn)行修改或刪除。因此，JavaScript不會(huì)破壞服務(wù)器或客戶機(jī)上的任何文件，也不可能被用來編寫破壞計(jì)算機(jī)上資源的計(jì)算機(jī)病毒。JavaScript的漏洞通常僅僅破壞用戶的隱私。避免這種安全隱患的一個(gè)要點(diǎn)是不去瀏覽一些不可信任的網(wǎng)站。

6.1.3 COOKIES
Cookies是幫助Web站點(diǎn)維持用戶狀態(tài)的一種機(jī)制,從技術(shù)上而言，Cookies實(shí)質(zhì)上是HTTP的Header的一個(gè)選項(xiàng)。Cookies本身由純文本字符串組成，能夠讀入游覽器的內(nèi)存中，并在必要時(shí)候返回給服務(wù)器端[5] 。Cookies的主要作用是在客戶端保存用于和服務(wù)器交互的用戶信息。Cookies也因此而被Internet廣告商濫用，為使用者展示“個(gè)性化”的廣告。我們可以通過在瀏覽器中禁用Cookies來避免個(gè)人信息被收集，當(dāng)然這樣會(huì)造成一些網(wǎng)站功能的使用問題。  

6.2 黑客攻擊
黑客攻擊作為Web安全的最大威脅，往往通過系統(tǒng)和程序漏洞來達(dá)到獲得系統(tǒng)管理權(quán)限和使Web服務(wù)中止的目的。其目的也由曾經(jīng)的技術(shù)炫耀、刺激而向經(jīng)濟(jì)利益轉(zhuǎn)變[6]。比如前段時(shí)間的幾大木馬病毒案（熊貓燒香，灰鴿子等），嫌疑人均帶有強(qiáng)烈的經(jīng)濟(jì)目的而實(shí)施木馬和病毒的傳播。

6.2.1 獲得系統(tǒng)權(quán)限
獲得系統(tǒng)權(quán)限方面，主要是通過系統(tǒng)漏洞使普通用戶權(quán)限升級到系統(tǒng)管理員級別。可以從三個(gè)途徑獲得普通用戶帳號：一是通過網(wǎng)絡(luò)監(jiān)聽，截獲數(shù)據(jù)報(bào)文等方式獲得[10]；二是通過系統(tǒng)或程序漏洞新建用戶；三是通過社會(huì)工程騙取用戶賬號和密碼，這種方法成功的原因是人們樂于助人[11]。

6.2.2 中止WEB服務(wù)
中止Web服務(wù)方面，主要是通過拒絕服務(wù)攻擊DoS。一般情況下，拒絕服務(wù)攻擊是通過使被攻擊對象（通常是工作站或重要服務(wù)器）的系統(tǒng)關(guān)鍵資源過載，從而使被攻擊對象停止部分或全部服務(wù)。目前已知的拒絕服務(wù)攻擊就有幾百種，它是最基本的入侵攻擊手段，也是最難對付的入侵攻擊之一，典型示例有SYN Flood和Ping Flood對服務(wù)器攻擊、Land和WinNuke對端口攻擊等[8]。

6.3 防火墻
防火墻是近些年發(fā)展起來的一種保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)安全的技術(shù)性措施，它是一個(gè)用以阻止網(wǎng)絡(luò)中的黑客訪問某個(gè)機(jī)構(gòu)網(wǎng)絡(luò)的屏障，也可稱之為控制進(jìn)/出兩個(gè)方向通信的門檻。在網(wǎng)絡(luò)邊界上通過建立起來的相應(yīng)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡(luò)，以阻擋外部網(wǎng)絡(luò)的侵入。目前的防火墻主要有包過濾防火墻、代理防火墻和雙穴防火墻三種類型。

6.3.1 包過濾防火墻
包過濾防火墻設(shè)置在網(wǎng)絡(luò)層，可以在路由器上實(shí)現(xiàn)包過濾。首先應(yīng)建立一定數(shù)量的信息過濾表，信息過濾表是以其收到的數(shù)據(jù)包頭信息為基礎(chǔ)而建成的。信息包頭含有數(shù)據(jù)包源IP地址、目的IP地址、傳輸協(xié)議類型（TCP、UDP、ICMP等）、協(xié)議源端口號、協(xié)議目的端口號、連接請求方向、ICMP報(bào)文類型等。當(dāng)一個(gè)數(shù)據(jù)包滿足過濾表中的規(guī)則時(shí)，則允許數(shù)據(jù)包通過，否則禁止通過。這種防火墻可以用于禁止外部不合法用戶對內(nèi)部的訪問，也可以用來禁止訪問某些服務(wù)類型。但包過濾技術(shù)不能識別有危險(xiǎn)的信息包，無法實(shí)施對應(yīng)用級協(xié)議的處理，也無法處理UDP、RPC或動(dòng)態(tài)的協(xié)議[9,10]。

6.3.2 代理防火墻
代理防火墻又稱應(yīng)用層網(wǎng)關(guān)級防火墻，它由代理服務(wù)器和過濾路由器組成，是目前較流行的一種防火墻。它將過濾路由器和軟件代理技術(shù)結(jié)合在一起。過濾路由器負(fù)責(zé)網(wǎng)絡(luò)互連，并對數(shù)據(jù)進(jìn)行嚴(yán)格選擇，然后將篩選過的數(shù)據(jù)傳送給代理服務(wù)器。代理服務(wù)器起到外部網(wǎng)絡(luò)申請?jiān)L問內(nèi)部網(wǎng)絡(luò)的中間轉(zhuǎn)接作用，其功能類似于一個(gè)數(shù)據(jù)轉(zhuǎn)發(fā)器，它主要控制哪些用戶能訪問哪些服務(wù)類型。當(dāng)外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請某種網(wǎng)絡(luò)服務(wù)時(shí)，代理服務(wù)器接受申請，然后它根據(jù)其服務(wù)類型、服務(wù)內(nèi)容、被服務(wù)的對象、服務(wù)者申請的時(shí)間、申請者的域名范圍等來決定是否接受此項(xiàng)服務(wù)，如果接受，它就向內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)這項(xiàng)請求。代理防火墻無法快速支持一些新出現(xiàn)的業(yè)務(wù)（如多媒體）?，F(xiàn)要較為流行的代理服務(wù)器軟件是WinGate和Proxy Server[13]。

6.3.3 雙穴主機(jī)防火墻
該防火墻是用主機(jī)來執(zhí)行安全控制功能。一臺雙穴主機(jī)配有多個(gè)網(wǎng)卡，分別連接不同的網(wǎng)絡(luò)。雙穴主機(jī)從一個(gè)網(wǎng)絡(luò)收集數(shù)據(jù)，并且有選擇地把它發(fā)送到另一個(gè)網(wǎng)絡(luò)上。網(wǎng)絡(luò)服務(wù)由雙穴主機(jī)上的服務(wù)代理來提供。內(nèi)部網(wǎng)和外部網(wǎng)的用戶可通過雙穴主機(jī)的共享數(shù)據(jù)區(qū)傳遞數(shù)據(jù)，從而保護(hù)了內(nèi)部網(wǎng)絡(luò)不被非法訪問[9,10]。 

總 結(jié)
任何策略和工具最終都需要人來實(shí)施和使用，因此，本文將為相關(guān)人員制定出一定的安全對策作為結(jié)尾，以幫助大家更好地使用Web服務(wù) 。

普遍適用的安全對策有：打好系統(tǒng)和應(yīng)用軟件補(bǔ)丁，定時(shí)更新系統(tǒng)。安全問題不只為使用者關(guān)注,開發(fā)者因?yàn)樯虡I(yè)服務(wù)的需要或?yàn)榱说玫礁嗟挠脩?，他們同樣關(guān)注著安全問題。一旦發(fā)現(xiàn)漏洞，開發(fā)者往往迅速做出反應(yīng)，制作并發(fā)布修補(bǔ)漏洞的補(bǔ)丁。及時(shí)更新系統(tǒng)，能夠降低很多的安全風(fēng)險(xiǎn)的危害。建立用戶分級和審核制度，區(qū)分系統(tǒng)管理員和普通用戶，設(shè)置健壯的密碼。許多的安全問題都是由于不合適的使用了不合適的權(quán)利而造成的。產(chǎn)生這種問題的根源，一是權(quán)限設(shè)置不當(dāng)，二是密碼泄露，所以從源頭上避免安全問題的產(chǎn)生是一個(gè)基本的安全對策。從開發(fā)者官方和可信賴的站點(diǎn)下載軟件，避免使用破解版和綠色版。病毒和木馬制造者可以通過將之附加到流行的應(yīng)用程序之內(nèi)而將病毒和木馬散播出去，破解版和綠色版的軟件程序則是很好的傳播渠道。我們應(yīng)該盡量避免使用這樣的軟件，以免引狼入室，為惡意攻擊者大開方便之門。

適用于系統(tǒng)管理員或者Web服務(wù)提供者的安全對策有：關(guān)閉不必要或多余的服務(wù)，按照安全規(guī)則和標(biāo)準(zhǔn)上來說，多余的東西就沒必要開啟，關(guān)閉無用的服務(wù)不僅可以減少安全隱患，也能提高系統(tǒng)性能和穩(wěn)定性。按最小權(quán)限原則對文件系統(tǒng)進(jìn)行設(shè)置，這是避免提權(quán)操作和跨站腳本攻擊的好辦法。安裝并使用防火墻軟件，關(guān)注系統(tǒng)和程序的最新安全漏洞并及時(shí)打好補(bǔ)丁，這樣可以讓系統(tǒng)自動(dòng)地對攻擊進(jìn)行防護(hù)，減少系統(tǒng)管理員的工作量。了解最新的黑客攻擊方法并學(xué)習(xí)應(yīng)對策略，道高一尺，魔高一仗，攻擊手段總是比防護(hù)手段發(fā)展得快。所以只有及早地學(xué)習(xí)研究攻擊手段，才能早日研究出防護(hù)辦法，防患于未然。

適用于普通用戶的安全對策有：避免瀏覽違法網(wǎng)站，不要打開陌生人的郵件和附件，這樣可以減少接觸病毒或木馬的機(jī)會(huì)。安裝并使用防病毒和木馬的軟件，這樣可以降低和避免病毒和木馬造成的危害。使用前對下載的音頻視頻文件進(jìn)行病毒掃描，這往往為廣大用戶所忽視，直接打開這些文件，造成病毒和木馬的感染。  

致 謝
首先感謝母校湖南大學(xué)在過去的四年里為我創(chuàng)造了一個(gè)適宜的學(xué)習(xí)和生活環(huán)境。

本文是在我的導(dǎo)師蔣理副教授的悉心指導(dǎo)下完成的。從題目的選定到論文的完成，蔣老師都給予了詳細(xì)的指導(dǎo)。我也從中學(xué)會(huì)了如何統(tǒng)籌規(guī)劃地完成一個(gè)項(xiàng)目。在此，我對蔣老師表示最尊敬的致意，并真誠地祝愿他身體健康、工作順利。

在論文的寫作過程中，我也得到了許多老師和同學(xué)的幫助，在此一并感謝他們。

最后，感謝我的父母親人，是他們給我創(chuàng)造了這個(gè)難得的學(xué)習(xí)深造機(jī)會(huì)。雖然他們不在我身邊，但他們的關(guān)心、愛護(hù)和支持永遠(yuǎn)激勵(lì)著我不斷努力。在此，我深深地祝福他們。

參考文獻(xiàn)
[1] 同濟(jì)大學(xué).計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)與實(shí)訓(xùn)[EB/OL]．

[2] Dancefire.麒麟操作系統(tǒng)內(nèi)核同其他操作系統(tǒng)內(nèi)核的相似性分析[EB/OL]．

[3] 孔凡飛.基于WS Security的電子商務(wù)Web服務(wù)安全的概要設(shè)計(jì)[D]杭州:浙江大學(xué),20030201：25．

[4] 鄧集波.WEB中基于角色訪問控制的靜態(tài)授權(quán)研究[D]武漢:華中科技大學(xué),20020510：18．

[5] 周穎.Web服務(wù)安全性研究及其應(yīng)用[D]重慶:重慶大學(xué),20041010：36．

[6] 汪永平.互聯(lián)網(wǎng)系統(tǒng)安全性與脆弱性初探[D]蘭州:蘭州大學(xué),19991101：32-34．

[7] 張振興.Web服務(wù)安全性的研究與實(shí)現(xiàn)[D]北京:華北電力大學(xué),20031230：40-43．

[8] 孟麗佳.EC商務(wù)系統(tǒng)中Web安全性設(shè)計(jì)與實(shí)現(xiàn)[D]大連:大連理工大學(xué),20050612：27．

[9]賈賀，張旭．構(gòu)建安全Web站點(diǎn)[M]北京：電子工業(yè)出版社，2002年1月：84．

[10] Steve Kalman著 馮大輝，姚湘怡譯.web安全實(shí)踐 web security field guide[M]北京：人民郵電出版社,2003年12月：264-268．

[11] Fan, Di.How product intangibility and its moderators affect perceived risk in online shopping setting[D]Canada: Concordia University,2005：29．

[12] El Namroud, Dany.Servers/Web sites security[D]Canada: Ecole de Technologies Superieure,2002：59．

[13] 高鵬．Web安全手冊[M]北京：清華大學(xué)出版社,1998:29-33．