第四章 服務(wù)器系統(tǒng)安全配置

1、 服務(wù)器系統(tǒng)安全配置服務(wù)器系統(tǒng)安全配置安全服務(wù)器角色 Secure Server Rolesn目的：針對具有不同服務(wù)器角色的Windows 系統(tǒng)，簡化管理員實(shí)施安全系統(tǒng)的繁重任務(wù)nSSR包含了一些向?qū)С绦?用來檢查和實(shí)施OS,特定應(yīng)用程序的安全策略（例如：Exchange，IIS）安全服務(wù)器角色 SSRn安全服務(wù)器角色框架q設(shè)置廣泛（例如：服務(wù)，端口，注冊表鍵值，審計(jì)，用戶組等）q“角色”眾多（例如：域控制器，文件服務(wù)器，打印服務(wù)器，Web服務(wù)器等）q適用范圍廣泛(例如:Internet連接,DMZ,企業(yè)網(wǎng)絡(luò),多網(wǎng)卡主機(jī)) q可定制n可以增加新的角色,無需編程q可擴(kuò)展n可以使用VB來開發(fā)特定應(yīng)

2、用的子向?qū)通過與MBSA的集成,提供了對一些非可配置的選項(xiàng)的分析,例如:漏裝補(bǔ)丁程序,NTFS文件系統(tǒng),口令太簡單q既可在本地運(yùn)行,又可在遠(yuǎn)程運(yùn)行q支持Windows 2000 和 .Net Server安全服務(wù)器角色 SSR(2)SSR向?qū)С绦騫用戶可以很容易的實(shí)施必要的安全設(shè)置q基于知識驅(qū)動,針對不同的服務(wù)器角色和安裝環(huán)境,最大化安全設(shè)置q安全策略數(shù)據(jù)庫以XML方式保存q使用翻譯引擎,配置引擎來解釋,應(yīng)用和回撤安全策略Windows服務(wù)器安全操作指南n在運(yùn)行 Windows 的服務(wù)器上創(chuàng)建和保持一個(gè)安全環(huán)境所需的操作n涉及內(nèi)容q了解安全風(fēng)險(xiǎn) q運(yùn)用 Windows 2000 組策略管理安

3、全 q基于角色保護(hù)服務(wù)器 q修補(bǔ)程序管理q審計(jì)與入侵檢測 q響應(yīng)意外事件 q響應(yīng)意外事件 Windows安全檢查列表所有磁盤分區(qū)都是NTFS文件系統(tǒng)管理員帳戶有一個(gè)強(qiáng)口令禁止所有不必要的服務(wù)刪除或禁止所有不必要的賬號關(guān)閉所有不必要的共享目錄設(shè)置訪問控制列表設(shè)置嚴(yán)格的安全策略安裝最新的服務(wù)包和補(bǔ)丁程序安裝反病毒軟件FTP 基本概念基本概念 FTP（File Transfer Protocol）是文件傳輸協(xié)議，服務(wù)器中存有大量的共享軟件和免費(fèi)資源，要想從服務(wù)器中把文件傳送到客戶機(jī)上或者把客戶機(jī)上的資源傳送至服務(wù)器，就必須在兩臺機(jī)器中進(jìn)行文件傳送，此時(shí)雙方必須要共同遵守一定的規(guī)則。FTP就是用來在客

4、戶機(jī)和服務(wù)器之間實(shí)現(xiàn)文件傳輸?shù)臉?biāo)準(zhǔn)協(xié)議。它使用客戶/服務(wù)器模式，客戶程序把客戶的請求告訴服務(wù)器，并將服務(wù)器發(fā)回的結(jié)果顯示出來。而服務(wù)器端執(zhí)行真正的工作，比如存儲、發(fā)送文件等。 FTP基本概念基本概念 如果用戶要將一個(gè)文件從自己的計(jì)算機(jī)上發(fā)送到另一臺計(jì)算機(jī)上，稱為是FTP的上載（Upload），而更多的情況是用戶從服務(wù)器上把文件或資源傳送到客戶機(jī)上，稱之為FTP的下載（Download）。在Internet上有一些計(jì)算機(jī)稱為FTP服務(wù)器，它存儲了許多允許存取的文件，如：文本文件、圖像文件、程序文件、聲音文件、電影文件等。 兩個(gè)連接n控制連接在整個(gè)會話期間一直保持打開，F(xiàn)TP 客戶發(fā)出的傳送請求通

5、過控制連接發(fā)送給服務(wù)器端的控制進(jìn)程，但控制連接不用來傳送文件。n實(shí)際用于傳輸文件的是“數(shù)據(jù)連接”。服務(wù)器端的控制進(jìn)程在接收到 FTP 客戶發(fā)送來的文件傳輸請求后就創(chuàng)建“數(shù)據(jù)傳送進(jìn)程”和“數(shù)據(jù)連接”，用來連接客戶端和服務(wù)器端的數(shù)據(jù)傳送進(jìn)程。n數(shù)據(jù)傳送進(jìn)程實(shí)際完成文件的傳送，在傳送完畢后關(guān)閉“數(shù)據(jù)傳送連接”并結(jié)束運(yùn)行。 FTP 使用的兩個(gè) TCP 連接 控制進(jìn)程FTP 客戶端FTP 服務(wù)器端因特網(wǎng)TCP 控制連接TCP 數(shù)據(jù)連接用戶界面控制進(jìn)程數(shù)據(jù)傳送進(jìn)程數(shù)據(jù)傳送進(jìn)程n 當(dāng)客戶進(jìn)程向服務(wù)器進(jìn)程發(fā)出建立連接請求時(shí)，要尋找連接服務(wù)器進(jìn)程的熟知端口(21)，同時(shí)還要告訴服務(wù)器進(jìn)程自己的另一個(gè)端口號碼，用

6、于建立數(shù)據(jù)傳送連接。n接著，服務(wù)器進(jìn)程用自己傳送數(shù)據(jù)的熟知端口(20)與客戶進(jìn)程所提供的端口號碼建立數(shù)據(jù)傳送連接。n由于 FTP 使用了兩個(gè)不同的端口號，所以數(shù)據(jù)連接與控制連接不會發(fā)生混亂。 兩個(gè)不同的端口號 配置管理配置管理FTP服務(wù)器服務(wù)器 在組建Intranet時(shí)，如果打算提供文件傳輸功能，即網(wǎng)絡(luò)用戶可以從特定的服務(wù)器上下載文件，或者向該服務(wù)器上傳數(shù)據(jù)，此時(shí)需要配置支持文件傳輸?shù)腇TP服務(wù)器。Microsoft IIS提供了構(gòu)架FTP服務(wù)器的功能，因此在Windows 2000 Server中配置FTP服務(wù)器同樣需要安裝IIS 5.0。設(shè)置設(shè)置FTP站點(diǎn)站點(diǎn)(1)(1) FTP服務(wù)器安裝

7、好后，在服務(wù)器上有專門的目錄供網(wǎng)絡(luò)客戶機(jī)用戶訪問、存儲下載文件、接收上傳文件，合理設(shè)置站點(diǎn)有利于提供安全、方便的服務(wù)。 通過“開始”/“程序”/“管理工具”/“Internet服務(wù)管理器”，打開“Internet信息服務(wù)” 窗口，如圖9-1，顯示此計(jì)算機(jī)上已經(jīng)安裝好的Internet服務(wù)，而且都已經(jīng)自動啟動運(yùn)行，其中有一默認(rèn)FTP站點(diǎn)。 設(shè)置設(shè)置FTP站點(diǎn)站點(diǎn)(2)(2) 配置FTP服務(wù)器管理窗口 設(shè)置設(shè)置Ftp站點(diǎn)站點(diǎn)(3)(3)1. 設(shè)置IIS默認(rèn)的FTP站點(diǎn) 建立FTP站點(diǎn)最快的方法，就是直接利用IIS默認(rèn)建立的FTP站點(diǎn)。把可供下載的相關(guān)文件，分門別類地放在該站點(diǎn)默認(rèn)FTP根目錄Int

8、erPubftproot下。當(dāng)然如果在安裝時(shí)將FTP的發(fā)行目錄設(shè)置成其他的目錄，需要將這些文件放到所設(shè)置的目錄中。設(shè)置設(shè)置Ftp站點(diǎn)站點(diǎn)(4)(4) 例如我們直接使用IIS默認(rèn)建立的FTP站點(diǎn)，將可供下載的文件直接放在默認(rèn)根目錄InterPubftproot下，完成這些操作后，打開本機(jī)或客戶機(jī)瀏覽器，在地址欄中輸入FTP服務(wù)器的 IP地址（9）或主機(jī)的FQDN名字（前提是DNS服務(wù)器中有該主機(jī)的記錄），就會以匿名的方式登錄到FTP服務(wù)器，根據(jù)權(quán)限的設(shè)置就可以進(jìn)行文件的上傳和下載了。 設(shè)置設(shè)置Ftp站點(diǎn)站點(diǎn)(5)(5)2. 添加及刪除站點(diǎn) IIS允許在同一部計(jì)算機(jī)上同時(shí)構(gòu)架

9、多個(gè)FTP站點(diǎn)，但前提是本地計(jì)算機(jī)具有多個(gè)IP地址。添加站點(diǎn)時(shí)，先在樹狀目錄選取計(jì)算機(jī)名稱，再執(zhí)行菜單“操作”/“新建”/“FTP站點(diǎn)”，便會運(yùn)行FTP安裝向?qū)?，向?qū)筝斎胄抡军c(diǎn)的IP地址、TCP端口、存放文件的主目錄路徑（即站點(diǎn)的根目錄），以及設(shè)置訪問權(quán)限。除了主目錄路徑一定要指定外，其余設(shè)置可保持默認(rèn)設(shè)置。 刪除FTP站點(diǎn)，先選取要?jiǎng)h除的站點(diǎn)，再執(zhí)行“刪除”命令即可。一個(gè)站點(diǎn)若被刪除，只是該站點(diǎn)的設(shè)置被刪除，而該站點(diǎn)下的文件還是存放在原先的目錄，并不會被刪除。 Ftp站點(diǎn)的管理站點(diǎn)的管理(1)(1) Ftp站點(diǎn)建立好之后，可以通過“Microsoft 管理控制臺”進(jìn)一步來管理及設(shè)置Ft

10、p站點(diǎn)，站點(diǎn)管理工作既可以在本地進(jìn)行，也可以遠(yuǎn)程管理。 1. 本地管理 通過“開始”/“程序”/“管理工具”/“Internet服務(wù)管理器”，打開如圖9-1的“Internet信息服務(wù)” 窗口，在要管理的FTP站點(diǎn)上單擊鼠標(biāo)右鍵，選擇“屬性”命令，出現(xiàn)如圖9-2所示對話框。 Ftp站點(diǎn)的管理站點(diǎn)的管理(2)(2)圖9-2 FTP站點(diǎn)屬性設(shè)置對話框 Ftp站點(diǎn)的管理站點(diǎn)的管理(3)(3)（1）“FTP站點(diǎn)”屬性頁 IP地址：設(shè)置此站點(diǎn)的IP地址，即本服務(wù)器的IP地址。如果服務(wù)器設(shè)置了兩個(gè)以上的IP站點(diǎn)，可以任選一個(gè)。FTP站點(diǎn)可以與Web站點(diǎn)共用IP地址以及DNS名稱，但不能設(shè)置使用相同的TCP

11、端口。 TCP端口：FTP服務(wù)器默認(rèn)使用TCP協(xié)議的21端口，若更改此端口，則用戶在連接到此站點(diǎn)時(shí)，必須輸入站點(diǎn)所使用端口，例如使用命令ftp :8021，表示連接FTP服務(wù)器的TCP端口為8021。連接限制到、連接超時(shí)、啟動日志等設(shè)置參見WWW服務(wù)器配置。 Ftp站點(diǎn)的管理站點(diǎn)的管理(4)(4)（2）“安全賬號”屬性頁選擇“安全賬號”標(biāo)簽，出現(xiàn)如圖所示對話框。 圖 FTP站點(diǎn)“安全賬號”屬性設(shè)置 Ftp站點(diǎn)的管理站點(diǎn)的管理(5)(5)允許匿名連接：FTP站點(diǎn)一般都設(shè)置為允許用戶匿名登錄，除非想限制只允許NT用戶登錄使用。在安裝時(shí)系統(tǒng)自動建立一個(gè)默認(rèn)匿名用戶賬號：“I

12、USR_COMPUTERNAME”。注意用戶在客戶機(jī)登錄FTP服務(wù)器的匿名用戶名為“anonymous”，并不是上邊給出的名字。 只允許匿名連接：選擇此項(xiàng)，表示用戶不能用私人的賬號登錄。只能用匿名來登錄FTP站點(diǎn)，可以用來防止具有管理權(quán)限的賬號通過FTP訪問或更改文件。FTP站點(diǎn)操作員：設(shè)置擁有管理此FTP站點(diǎn)的權(quán)限的域用戶，默認(rèn)是只有Administrators組的成員才能管理FTP站點(diǎn)。作為該組的成員，可以利用添加及刪除按鈕，針對每個(gè)站點(diǎn)來設(shè)置操作員。Ftp站點(diǎn)的管理站點(diǎn)的管理(6)(6)（3）“信息”屬性頁 在此選項(xiàng)中，可以設(shè)置一些類似站點(diǎn)公告的信息，比如用戶登錄后顯示的歡迎信息。（4）

13、“主目錄”屬性頁 該屬性頁設(shè)置供網(wǎng)絡(luò)用戶下載文件的站點(diǎn)是來自于本地計(jì)算機(jī)，還是來自于其他計(jì)算機(jī)共享的文件夾。 選擇此計(jì)算機(jī)上的目錄，還需指定FTP站點(diǎn)目錄，即站點(diǎn)的根目錄所在的路徑。選擇另一計(jì)算機(jī)上的共享位置，需指定來自于其他計(jì)算機(jī)的目錄，按“連接為”按鈕設(shè)置一個(gè)有權(quán)訪問該目錄的Windows 域用戶賬號。 Ftp站點(diǎn)的管理站點(diǎn)的管理(7)(7)對于站點(diǎn)的訪問權(quán)限可進(jìn)行幾種復(fù)選設(shè)置。v“讀取”：即用戶擁有讀取或下載此站點(diǎn)下的文件或目錄的權(quán)限；v“寫入”：即允許用戶將文件上載至此FTP站點(diǎn)目錄中；v“日志訪問”：如果此FTP站點(diǎn)已經(jīng)啟用了日志訪問功能，選擇此項(xiàng)，則用戶訪問此站點(diǎn)文件的行為就會以記

14、錄的形式被記載到日志文件中。 Ftp站點(diǎn)的管理站點(diǎn)的管理(8)(8)（5）“目錄安全性” 屬性頁 設(shè)定客戶訪問FTP站點(diǎn)的范圍，其方式為：授權(quán)訪問和拒絕訪問。 授權(quán)訪問：授權(quán)訪問：開放訪問此站點(diǎn)的權(quán)限給所有用戶，并可以在“下列地址例外”列表中加入不受歡迎的用戶IP地址。 拒絕訪問：拒絕訪問：不開放訪問此站點(diǎn)的權(quán)限，默認(rèn)所有人不能訪問該FTP站點(diǎn)，在“下列地址例外”列表中加入允許訪問站點(diǎn)的用戶IP地址，使它們具有訪問權(quán)限。 Ftp站點(diǎn)的管理站點(diǎn)的管理(9)(9) 利用“添加”、“刪除”或“編輯”按鈕來增加、刪除或更改“下列計(jì)算機(jī)例外”列表中的內(nèi)容，可選擇“單機(jī)”模式，即直接輸入IP地址，或者單擊

15、“DNS查找”按鈕，輸入域名稱，讓DNS服務(wù)器找出對應(yīng)的IP地址。選擇“一組計(jì)算機(jī)”，在網(wǎng)絡(luò)標(biāo)識欄中輸入這些計(jì)算機(jī)的網(wǎng)絡(luò)標(biāo)識，在子網(wǎng)掩碼中輸入這一組計(jì)算機(jī)所屬子網(wǎng)的子網(wǎng)掩碼，即確定用戶輸入某一邏輯網(wǎng)段。 Ftp站點(diǎn)的管理站點(diǎn)的管理(10)(10)2. 遠(yuǎn)程管理 FTP服務(wù)器可利用Internet服務(wù)管理器遠(yuǎn)程管理其他計(jì)算機(jī)上的FTP站點(diǎn)或通過瀏覽器啟動Internet服務(wù)管理器（HTML）來做遠(yuǎn)程管理。Web站點(diǎn)也可以使用這種方法管理。 測試測試FTPFTP服務(wù)器服務(wù)器(11)(11) 為了測試FTP服務(wù)器是否正常工作，可選擇一臺客戶機(jī)登錄FTP服務(wù)器進(jìn)行測試，首先保證FTP服務(wù)器的FTP發(fā)布

16、目錄下存放有文件，可供下載，在這里我們選擇使用Web瀏覽器作為FTP客戶程序。 測試測試FTPFTP服務(wù)器服務(wù)器(12)(12) 可以使用Internet Explorer（IE）連接到FTP站點(diǎn)。輸入?yún)f(xié)議以及域名，例如ftp:/zyj/ 雙擊如圖所示的“Book1.xls”文件，就可以打開該文件。鼠標(biāo)右鍵單擊文件名，然后選“復(fù)制到文件夾”彩旦，彈出如圖所示對話框，選擇文件保存的路徑，確定就可以將文件下載到本地指定文件夾內(nèi)。 測試測試FTPFTP服務(wù)器服務(wù)器(13) (13) 使用IE瀏覽器測試FTP站點(diǎn) 測試測試FTPFTP服務(wù)器服務(wù)器(14)(14)設(shè)置保存目錄對話框 Web定義n一、超文

17、本（hypertext） 一種全局性的信息結(jié)構(gòu)，它將文檔中的不同部分通過關(guān)鍵字建立鏈接，使信息得以用交互方式搜索。它是超級文本的簡稱。 n二、超媒體（hypermedia） 超媒體是超文本（hypertext）和多媒體在信息瀏覽環(huán)境下的結(jié)合。它是超級媒體的簡稱。用戶不僅能從一個(gè)文本跳到另一個(gè)文本，而且可以激活一段聲音，顯示一個(gè)圖形，甚至可以播放一段動畫。nInternet采用超文本和超媒體的信息組織方式，將信息的鏈接擴(kuò)展到整個(gè)Internet上。Web就是一種超文本信息系統(tǒng)，Web的一個(gè)主要的概念就是超文本連接，它使得文本不再象一本書一樣是固定的線性的。而是可以從一個(gè)位置跳到另外的位置。你可以

18、從中獲取更多的信息?？梢赞D(zhuǎn)到別的主題上。想要了解某一個(gè)主題的內(nèi)容只要在這個(gè)主題上點(diǎn)一下，就可以跳轉(zhuǎn)到包含這一主題的文檔上。正是這種多連接性我們才把它稱為Web。 Web特征n一、Web是圖形化的和易于導(dǎo)航的（navigate） Web 非常流行的一個(gè)很重要的原因就在于它可以在一頁上同時(shí)顯示色彩豐富的圖形和文本的性能。在Web之前Internet上的信息只有文本形式。Web可以提供將圖形、音頻、視頻信息集合于一體的特性。同時(shí)，Web是非常易于導(dǎo)航的，只需要從一個(gè)連接跳到另一個(gè)連接，就可以在各頁各站點(diǎn)之間進(jìn)行瀏覽了。 n二、Web與平臺無關(guān) 無論系統(tǒng)平臺是什么，都可以通過Internet訪問WWW

19、。瀏覽WWW對系統(tǒng)平臺沒有什么限制。無論從Windows平臺、UNIX平臺、Macintosh還是別的什么平臺我們都可以訪問WWW。對WWW的訪問是通過一種叫做瀏覽器（browser）的軟件實(shí)現(xiàn)的。如Netscape 的Navigator、NCSA的Mosaic、Microsoft的Explorer等。 n三、Web是分布式的 大量的圖形、音頻和視頻信息會占用相當(dāng)大的磁盤空間，甚至無法預(yù)知信息的多少。對于Web沒有必要把所有信息都放在一起，信息可以放在不同的站點(diǎn)上。只需要在瀏覽器中指明這個(gè)站點(diǎn)就可以了。使在物理上并不一定在一個(gè)站點(diǎn)的信息在邏輯上一體化，從用戶來看這些信息是一體的。 n四、Web

20、 是動態(tài)的 最后，由于各Web站點(diǎn)的信息包含站點(diǎn)本身的信息，信息的提供者可以經(jīng)常對站上的信息進(jìn)行更新。如某個(gè)協(xié)議的發(fā)展?fàn)顩r，公司的廣告等等。一般各信息站點(diǎn)都盡量保證信息的時(shí)間性。所以Web站點(diǎn)上的信息是動態(tài)的。經(jīng)常更新的。這一點(diǎn)是由信息的提供者保證的。 Web動態(tài)的特性還表現(xiàn)在Web是交互的。nWeb的交互性首先表現(xiàn)在它的超連接上，用戶的瀏覽順序和所到站點(diǎn)完全由他自己決定。另外通過FORM的形式可以從服務(wù)器方獲得動態(tài)的信息。用戶通過填寫FORM可以向服務(wù)器提交請求，服務(wù)器可以根據(jù)用戶的請求返回相應(yīng)信息。Web安全問題n包含三個(gè)方面：n1、網(wǎng)絡(luò)安全。如防火墻、路由器、網(wǎng)絡(luò)結(jié)構(gòu)等相關(guān)的安全問題；

21、n2、系統(tǒng)與服務(wù)安全。如Window/Linux/Unix系統(tǒng)本身的漏洞或運(yùn)行于其上的服務(wù)的安全，象Apache/OpenSSL/Weblogic等本身的安全性漏洞； n3、Web應(yīng)用程序安全。具體應(yīng)用程序的安全性漏洞，比如：某網(wǎng)站郵件系統(tǒng)因?yàn)榇嬖谀_本安全性問題，導(dǎo)致該郵件系統(tǒng)的用戶在收到具有惡意代碼的郵件時(shí)不知不覺的，其密碼與帳號信息被人竊取。 n據(jù)權(quán)威搜索引擎公司統(tǒng)計(jì)數(shù)據(jù)顯示，目前70%以上的網(wǎng)站，或多或少的存在安全隱患，這里的安全隱患指的就是Web應(yīng)用程序的安全。至于網(wǎng)絡(luò)、系統(tǒng)與服務(wù)的安全性問題，它的生存周期基本上是：發(fā)現(xiàn)-上報(bào)軟件開發(fā)商-打補(bǔ)丁-下載更新程序。作為普通用戶，及時(shí)的給系統(tǒng)

22、與服務(wù)打上最新的補(bǔ)丁，配合一定的防火墻安全策略，是可以基本保證其安全的。n但是Web應(yīng)用程序基本上是每個(gè)組織各持一套自己的程序，一切問題都必需自己動手去解決，恰恰因?yàn)榇朔N特性，才導(dǎo)致目前運(yùn)行于互聯(lián)網(wǎng)上的Web應(yīng)用的安全性普遍存在。 2007十大十大Web安全漏洞安全漏洞n利用網(wǎng)頁及利用網(wǎng)頁及cookies寫作漏洞的跨站腳本攻擊寫作漏洞的跨站腳本攻擊(XSS)n隱碼攻擊隱碼攻擊(Injection Flaw，包括，包括SQL Injection及及Command Injection) nWeb應(yīng)用程序引入外部惡意程序的惡意文件執(zhí)行攻擊應(yīng)用程序引入外部惡意程序的惡意文件執(zhí)行攻擊(Malicious

23、 File Execution)n應(yīng)用程序可任意訪問文件的應(yīng)用程序可任意訪問文件的Insecure Direct Object Reference、n讓合法使用者執(zhí)行惡意程序指令卻可能被允許的讓合法使用者執(zhí)行惡意程序指令卻可能被允許的Cross-Site Request Forgery(CSRF)、n錯(cuò)誤信息泄露機(jī)密數(shù)據(jù)的錯(cuò)誤信息泄露機(jī)密數(shù)據(jù)的Information Leakage and Improper Error Handling、n身份驗(yàn)證功能缺陷的身份驗(yàn)證功能缺陷的Broken Authentication and Session Management、n敏感數(shù)據(jù)加密不安全或無加密的

24、敏感數(shù)據(jù)加密不安全或無加密的Insecure Cryptographic Storage、n傳輸數(shù)據(jù)未加密傳輸數(shù)據(jù)未加密Insecure Communication，n因無權(quán)限控制導(dǎo)致可直接存取數(shù)據(jù)的因無權(quán)限控制導(dǎo)致可直接存取數(shù)據(jù)的Failure to Restrict URL Access 增強(qiáng)Web安全n一般來說，提供數(shù)據(jù)庫應(yīng)用服務(wù)的Web站點(diǎn)主要由操作系統(tǒng)服務(wù)器、數(shù)據(jù)庫服務(wù)器和Web服務(wù)器三項(xiàng)構(gòu)成，由此，對Web站點(diǎn)的安全設(shè)置就可以從這三方面入手?；诓煌沫h(huán)境配置的Web解決方案，其安全考慮各有側(cè)重，但基本的原則是大致相同的。 nWEB軟件最常碰到的BUG為：1、SQL INJETIO

25、N2、對文件操作相關(guān)的模塊的漏洞3、COOKIES的欺騙4、本地提交的漏洞SQL INJETION的測試方法 n如有一新聞管理系統(tǒng)用文件news.asp，再用參數(shù)讀取數(shù)據(jù)庫里的新聞如http:/ 這一類網(wǎng)站程序如果直接用rs.open “select * from news where id=” &cstr(request(“id”),conn,1,1 數(shù)據(jù)庫進(jìn)行查詢的話即上面的URL所讀取的文章是這樣讀取的select * from news where id=1這條語言的意思是在news讀取id為1的文章內(nèi)容。但是在SQL SERVER里select是支持子查詢和多句執(zhí)行的。如果這

26、樣URL http:/ and 1=(select count(*) from admin where left(name,1)=a)SQL語句就變成了select * news where id=1 and 1=(select count(*)from admin where left(name,1)=a)意思是admin表里如果存在字段字為name里左邊第一個(gè)字符是a的就查詢news表里id為1的內(nèi)容，news表里id為1是有內(nèi)容的,從邏輯上的角度來說就是1&P。只要P為真，表達(dá)式就為真，頁面會返回一個(gè)正確的頁面。如果為假頁面就會報(bào)錯(cuò)或者會提示該id的文章不存在。n黑客利用這點(diǎn)就可

27、以慢慢的試用后臺管理員的用戶和密碼。 n檢測：檢測存不存在SQL INJETION很簡單。n如果參數(shù)為整數(shù)型的就在URL上分別提交http:/ and I=1和http:/ and I=2如果第一次返回正確內(nèi)容，第二次返回不同頁面或者不同內(nèi)容的話表明news.asp文件存在SQL INJETION 對文件操作相關(guān)的模塊的漏洞n原理：如一上傳文件功能的程序upload.asp。如果程序員只注重其功能上的需求沒有考慮到用戶不按常規(guī)操作的問題。如上傳一個(gè)網(wǎng)頁木馬程序上去，整個(gè)網(wǎng)站甚至整個(gè)服務(wù)器的架構(gòu)和源碼都暴露而且還有一定的權(quán)限 COOKIES的欺騙n原理：COOKIES是WEB程序的重要部分，CO

28、OKIES有利有弊。利在于不太占用服務(wù)器的資源，弊在于放在客戶端非常容易被人修改加以利用。所以一般論壇前臺登陸用COOKIES后臺是用SESSION，因?yàn)榍芭_登陸比較頻繁，用SESSION效率很低。但如果論壇程序管理員用戶在前臺也有一定的權(quán)限，如果對COOKIES驗(yàn)證不嚴(yán)的話，嚴(yán)重影響了WEB程序的正常工作。n如某LEADBBS，只有后臺對COOKIES驗(yàn)證嚴(yán)格，前臺的位置只是從COOKIES讀取用戶的ID，對用戶是否合法根本沒有驗(yàn)證。 WEB安全措施n在防治網(wǎng)絡(luò)病毒方面，在http傳輸中HTML文件是一般不會存在感染病毒的危險(xiǎn)。危險(xiǎn)在于下載可執(zhí)行軟件如：.zip .exe .arj .Z 等

29、文件過程中應(yīng)特別加以注意，都有潛伏病毒的可能性。 nWEB 服務(wù)器上的漏洞可以從以下幾方面考慮：（1）在web服務(wù)器上你不讓人訪問的秘密文件、目錄或重要數(shù)據(jù)。（2）從遠(yuǎn)程用戶向服務(wù)器發(fā)送信息時(shí)，特別是信用卡之類東西時(shí)，中途遭不法分子非法攔截。（3） web服務(wù)器本身存在的一些漏洞，使得一些人能侵入到主機(jī)系統(tǒng)破壞一些重要的數(shù)據(jù)，甚至造成 系統(tǒng)癱瘓。（4）CGI安全方面的漏洞有：1有意或無意在主機(jī)系統(tǒng)中遺漏(bugs)給非法黑客創(chuàng)造條件。2用 CGI腳本編寫的程序當(dāng)涉及到遠(yuǎn)程用戶從瀏覽器中輸入表格(form) 并進(jìn)行象檢索(Search index)或form-mail之類在主機(jī)上直接操作命令時(shí)，

30、或許會給web主機(jī)系統(tǒng)造成危險(xiǎn)。因此，從CGI角度考慮WEB的安全性，主要是在編制程序時(shí)，應(yīng)詳細(xì)考慮到安全因素。盡量避免CGI程序中存在漏洞。 n管理WEB服務(wù)器1)禁止亂用從其他網(wǎng)中下載的一些工具軟件，并在沒有詳細(xì)了解之前盡量不要用root身份注冊執(zhí)行。以防止某些程序員在程序中設(shè)下的陷井，如：程序中加上一兩行 rm -rf /或mail username /etc/passwd 之類情況發(fā)生。2)在選用 web服務(wù)器時(shí)，應(yīng)考慮到不同服務(wù)器對安全的要求不一樣。一些簡單的 web服務(wù)器就沒有考慮到一些安全的因素，不能把他用作商業(yè)應(yīng)用。只作一些個(gè)人的網(wǎng)點(diǎn)。3)在利用WEB中的.htpass來管理和

31、校驗(yàn)用戶口令時(shí)，存在校驗(yàn)的口令和用戶名不受次數(shù)限制。web服務(wù)器安全預(yù)防措施n1限制在web服務(wù)器開帳戶，定期刪除一些斷進(jìn)程的用戶。2對在web服務(wù)器上開的帳戶，在口令長度及定期更改方面作出要求，防止被盜用。3盡量使ftp, mail等服務(wù)器與之分開，去掉ftp,sendmail,tftp,NIS, NFS，finger,netstat等一些無關(guān)的應(yīng)用。4在web服務(wù)器上去掉一些絕對不用的shell等之類解釋器，即當(dāng)在你的 cgi的程序中沒用到perl時(shí)，就盡量把perl在系統(tǒng)解釋器中刪除掉。5定期查看服務(wù)器中的日志logs文件，分析一切可疑事件。在errorlog 中出現(xiàn)rm, login,

32、 /bin/perl, /bin/sh 等之類記錄時(shí)，你的服務(wù)器可能有受到一些非法用戶的入侵的嘗試。6設(shè)置好web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性，對可讓人訪問的文檔分配一個(gè)公用的組如：www，并只分配它只讀的權(quán)利。把所有的HTML文件歸屬WWW組，由WEB管理員管理WWW組。對于WEB的配置文件僅對WEB管理員有寫的權(quán)利。7有些WEB服務(wù)器把WEB的文檔目錄與FTP目錄指在同一目錄時(shí)，應(yīng)該注意不要把FTP的目錄與CGI-BIN指定在一個(gè)目錄之下。這樣是為了防止一些用戶通過 FTP上在一些尤如PERL或SH之類程序并用WEB的CGI-BIN去執(zhí)行造成不良后果。n當(dāng)一個(gè)網(wǎng)絡(luò)接上Internet之后，

33、系統(tǒng)的安全除了考慮計(jì)算機(jī)病毒、系統(tǒng)的健壯性之外，更主要的是防止非法用戶的入侵。而目前防止的措施主要是靠防火墻的技術(shù)完成。防火墻(firewall)是指一個(gè)由軟件或和硬件設(shè)備組合而成，處于企業(yè)或網(wǎng)絡(luò)群體計(jì)算機(jī)與外界通道(Internet)之間，限制外界用戶對內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外界網(wǎng)絡(luò)的權(quán)限WEB2.0nWeb1.0的主要特點(diǎn)在于用戶通過瀏覽器獲取信息，Web2.0則更注重用戶的交互作用，用戶既是網(wǎng)站內(nèi)容的消費(fèi)者（瀏覽者），也是網(wǎng)站內(nèi)容的制造者nWeb2.0是以 Flickr、Craigslist、Linkedin、Tribes、Ryze、Friendster、Del.icio.us、

34、43T等網(wǎng)站為代表，以Blog、TAG、SNS、RSS、wiki等社會軟件的應(yīng)用為核心，依據(jù)六度分隔、xml、ajax等新理論和技術(shù)實(shí)現(xiàn)的互聯(lián)網(wǎng)新一代模式?！眓國內(nèi)典型的Web2.0網(wǎng)站主要包括一些以博客和社會網(wǎng)絡(luò)應(yīng)用為主的網(wǎng)站，尤其以博客網(wǎng)站發(fā)展最為迅速，影響力也更大，例如博客網(wǎng)（）、DoNews IT社區(qū)（）、百度貼吧 （）、新浪博客 （）等瀏覽器的結(jié)構(gòu)與遠(yuǎn)地服務(wù)器通信輸出至顯示器從鼠標(biāo)和鍵盤輸入網(wǎng) 絡(luò) 接 口可選客戶程序HTML解釋程序可選解釋程序控 制 程 序驅(qū)動程序HTTP 客戶程序緩 存瀏覽器的主要組成部分 n瀏覽器有一組客戶、一組解釋程序，以及管理這些客戶和解釋程序的控制程序。n

35、控制程序是其中的核心部件，它解釋鼠標(biāo)的點(diǎn)擊和鍵盤的輸入，并調(diào)用有關(guān)的組件來執(zhí)行用戶指定的操作。n例如，當(dāng)用戶用鼠標(biāo)點(diǎn)擊一個(gè)超鏈的起點(diǎn)時(shí)，控制程序就調(diào)用一個(gè)客戶從所需文檔所在的遠(yuǎn)地服務(wù)器上取回該文檔，并調(diào)用解釋程序向用戶顯示該文檔。 瀏覽器中的緩存 n瀏覽器將它取回的每一個(gè)頁面副本都放入本地磁盤的緩存中。n當(dāng)用戶用鼠標(biāo)點(diǎn)擊某個(gè)選項(xiàng)時(shí)，瀏覽器首先檢查磁盤的緩存。若緩存中保存了該項(xiàng)，瀏覽器就直接從緩存中得到該項(xiàng)副本而不必從網(wǎng)絡(luò)獲取，這樣就明顯地改善瀏覽器的運(yùn)行特性。 。n但緩存要占用磁盤大量的空間，而瀏覽器性能的改善只有在用戶再次查看緩存中的頁面時(shí)才有幫助。n許多瀏覽器允許用戶調(diào)整緩存策略。 響應(yīng)程序HTTP 響應(yīng)報(bào)文程序活動文檔在客戶端創(chuàng)建 萬維網(wǎng)服務(wù)器瀏覽器 程序萬維網(wǎng)客戶服務(wù)器 程序HTTPHTTP 請求報(bào)文 請求文檔程序事先被編譯成二進(jìn)制代碼，存放為文件程序 此程序在客戶端創(chuàng)建出活動文檔文檔瀏覽器的安全性nCookies 及安全設(shè)置n萬維網(wǎng)站點(diǎn)使用 Cookie 來跟蹤用戶。nCookie 表示在 HTTP 服務(wù)器和客戶之間傳遞的狀態(tài)信息。n使用 Cookie 的網(wǎng)站服務(wù)器為用戶產(chǎn)生一個(gè)唯一的識別碼。利用此識別碼，網(wǎng)站就能夠跟蹤該用戶在該網(wǎng)站的活