信息系統(tǒng)攻擊與防御(第九章)

1、第九章 安全防御方法 構(gòu)建安全系統(tǒng)概述數(shù)據(jù)庫安全 操作系統(tǒng)安全 網(wǎng)絡(luò)安全 內(nèi)容簡介本章全面介紹了安全防御的各種方法，首先介紹了如何構(gòu)建一個安全系統(tǒng)，然后分別介紹了數(shù)據(jù)庫的安全防御、操作系統(tǒng)的安全防御和網(wǎng)絡(luò)的安全防御。9.1.構(gòu)建安全系統(tǒng)概述 但凡一個安全系統(tǒng)都可以按照以下體系來構(gòu)建：1.以最小權(quán)限運行2.缺省安全3.驗證輸入（1）驗證應(yīng)用程序的輸入（2）驗證外部組件的輸入（3）安全異常（4）評估規(guī)范化問題4.防護(hù)措施（1）多層防護(hù)系統(tǒng)。 （2）在軟件系統(tǒng)內(nèi)設(shè)置多層防護(hù)。 （3）使用ACL（訪問控制列表）。 （4）其它的一些做法：不要信任未知的東西。只有在驗明了來人的身份后，才能授予相應(yīng)的權(quán)限。

2、不要保存秘密信息。保存秘密信息（比如密鑰）很可能被攻擊者竊取。使用操作系統(tǒng)提供的DPAPI（Data Protection Application Programming Interface） 一個保護(hù)密鑰的對策。5安全的處理錯誤和異常6對系統(tǒng)的安全特性進(jìn)行嚴(yán)格的測試。7從錯誤中獲取知識和經(jīng)驗。學(xué)會總結(jié)經(jīng)驗教訓(xùn)，以避免再犯。8不斷學(xué)習(xí)安全相關(guān)的知識。 9.2.數(shù)據(jù)庫安全 對于數(shù)據(jù)庫系統(tǒng)來說，威脅主要來自：非法訪問數(shù)據(jù)庫信息；惡意破壞數(shù)據(jù)庫或未經(jīng)授權(quán)非法修改數(shù)據(jù)庫數(shù)據(jù)；用戶通過網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)庫訪問時，受到各種攻擊，如搭線竊聽等；對數(shù)據(jù)庫的不正確訪問，引起數(shù)據(jù)庫數(shù)據(jù)的錯誤。 數(shù)據(jù)庫系統(tǒng)的安全需求與其

3、它系統(tǒng)大致相同，要求有完整性、可靠性、有效性、保密性、可審計性及存取控制及用戶身份鑒定等。9.2.數(shù)據(jù)庫安全(續(xù)) 如何安全配置MSSQL數(shù)據(jù)庫：1.使用安全的密碼策略 2.使用安全的帳號策略3.管理擴(kuò)展存儲過程 4.對網(wǎng)絡(luò)連接進(jìn)行IP限制9.2.數(shù)據(jù)庫安全(續(xù)) 針對嗅探的防護(hù)：1.為了克服使用本地 sql server安全機(jī)制暴露用戶信任的缺陷，可以在服務(wù)器上安裝一個有效的證書（該證書是客戶端信任的，并且事先已經(jīng)通過“服務(wù)器認(rèn)證”的憑證）。 2.使用交換網(wǎng)絡(luò)（switched networks）會有助于降低密碼被竊取的風(fēng)險。 3.針對密碼破解，只要把密碼設(shè)置為足夠強(qiáng)壯，并且對同個ip地址不

4、停的連接請求進(jìn)行屏蔽即可。 9.2.數(shù)據(jù)庫安全(續(xù)) access的安全 ：Access數(shù)據(jù)庫的安全機(jī)制已經(jīng)更為完善。除了對數(shù)據(jù)庫設(shè)置密碼保護(hù)，對數(shù)據(jù)庫進(jìn)行編碼壓縮，還可以啟用用戶級的安全機(jī)制，在用戶級別上控制對數(shù)據(jù)庫的訪問。1數(shù)據(jù)庫設(shè)置密碼2數(shù)據(jù)庫壓縮編碼3用戶級安全機(jī)制 9.2.數(shù)據(jù)庫安全(續(xù)) mssql安全 ：MSSQL安全設(shè)置：（1）設(shè)置強(qiáng)壯的口令（2）刪除不必要的系統(tǒng)存儲過程與擴(kuò)展存儲過程 （3）用戶權(quán)限的嚴(yán)格控制（4）及時打補(bǔ)丁，防止溢出等相關(guān)的漏洞。 9.2.數(shù)據(jù)庫安全(續(xù)) mssql安全 ：Mssql注入防范 ： 對于動態(tài)構(gòu)造SQL查詢的場合，可以使用下面的技術(shù)：第一：替換

5、單引號，即把所有單獨出現(xiàn)的單引號改成兩個單引號，防止攻擊者修改SQL命令的含義。再來看前面的例子，“SELECT * from Users WHERE login = or 1=1 AND password = or 1=1”顯然會得到與“SELECT * from Users WHERE login = or 1=1 AND password = or 1=1”不同的結(jié)果。第二：刪除用戶輸入內(nèi)容中的所有連字符，防止攻擊者構(gòu)造出類如“SELECT * from Users WHERE login = mas - AND password =”之類的查詢，因為這類查詢的后半部分已經(jīng)被注釋掉，不再

6、有效，攻擊者只要知道一個合法的用戶登錄名稱，根本不需要知道用戶的密碼就可以順利獲得訪問權(quán)限。第三：對于用來執(zhí)行查詢的數(shù)據(jù)庫帳戶，限制其權(quán)限。用不同的用戶帳戶執(zhí)行查詢、插入、更新、刪除操作。由于隔離了不同帳戶可執(zhí)行的操作，因而也就防止了原本用于執(zhí)行SELECT命令的地方卻被用于執(zhí)行INSERT、UPDATE或DELETE命令。9.2.數(shù)據(jù)庫安全(續(xù)) mssql安全 ：Mssql注入防范 ： 用存儲過程來執(zhí)行所有的查詢。SQL參數(shù)的傳遞方式將防止攻擊者利用單引號和連字符實施攻擊。此外，它還使得數(shù)據(jù)庫權(quán)限可以限制到只允許特定的存儲過程執(zhí)行，所有的用戶輸入必須遵從被調(diào)用的存儲過程的安全上下文，這樣就

7、很難再發(fā)生注入式攻擊了。 限制表單或查詢字符串輸入的長度。如果用戶的登錄名字最多只有10個字符，那么不要認(rèn)可表單中輸入的10個以上的字符，這將大大增加攻擊者在SQL命令中插入有害代碼的難度。 檢查用戶輸入的合法性，確信輸入的內(nèi)容只包含合法的數(shù)據(jù)。數(shù)據(jù)檢查應(yīng)當(dāng)在客戶端和服務(wù)器端都執(zhí)行之所以要執(zhí)行服務(wù)器端驗證，是為了彌補(bǔ)客戶端驗證機(jī)制脆弱的安全性。 將用戶登錄名稱、密碼等數(shù)據(jù)加密保存。加密用戶輸入的數(shù)據(jù)，然后再將它與數(shù)據(jù)庫中保存的數(shù)據(jù)比較，這相當(dāng)于對用戶輸入的數(shù)據(jù)進(jìn)行了“消毒”處理，用戶輸入的數(shù)據(jù)不再對數(shù)據(jù)庫有任何特殊的意義，從而也就防止了攻擊者注入SQL命令。System.Web. Securi

8、ty.FormsAuthentication類有一個HashPasswordForStoringInConfigFile，非常適合于對輸入數(shù)據(jù)進(jìn)行消毒處理。 檢查提取數(shù)據(jù)的查詢所返回的記錄數(shù)量。如果程序只要求返回一個記錄，但實際返回的記錄卻超過一行，那就當(dāng)作出錯處理。9.2.數(shù)據(jù)庫安全(續(xù)) mysql的安全 ：參見教材（自學(xué)）9.3.操作系統(tǒng)安全一個有效而可靠的操作系統(tǒng)應(yīng)具有優(yōu)良的保護(hù)性能，系統(tǒng)必須提供一定的保護(hù)措施，因為操作系統(tǒng)是所有編程系統(tǒng)的基礎(chǔ)，而且在計算機(jī)系統(tǒng)中往往存儲著大量的信息，系統(tǒng)必須對這些信息提供足夠的保護(hù)，以防止被未授權(quán)用戶濫用或毀壞。只靠硬件不能提供充分的保護(hù)手段，必須將

9、操作系統(tǒng)與適當(dāng)?shù)挠布嘟Y(jié)合才能提供強(qiáng)有力的保護(hù)。操作系統(tǒng)應(yīng)提供的安全服務(wù)有：內(nèi)存保護(hù)、文件保護(hù)、普通實體保護(hù)（對實體的一般存取控制）、存取認(rèn)證（用戶的身份認(rèn)證），這些服務(wù)可以防止用戶軟件的缺陷損害系統(tǒng)。操作系統(tǒng)的安全可從以下幾個方面來考慮：物理上分離，進(jìn)程使用不同的物理實體。時間上分離，具有不同安全要求的進(jìn)程在不同的時間運行。邏輯上分離，用戶感覺上是在沒有其他進(jìn)程的情況下進(jìn)行的，而操作系統(tǒng)限制程序的存取使得程序不能存取允許范圍以外的實體。密碼上分離，進(jìn)程以一種其他進(jìn)程不了解的方式隱藏數(shù)據(jù)及計算。前兩種方法將直接導(dǎo)致資源利用率嚴(yán)重下降，因此一般不用。9.3.操作系統(tǒng)安全 (續(xù)) 1.進(jìn)程控制塊對

10、安全操作系統(tǒng)的一個基本要求是系統(tǒng)必須使各用戶彼此隔離，但允許通過受控路徑進(jìn)行信息交換。在一個時間共享或多道程序系統(tǒng)中，每個用戶都可能會有多個進(jìn)程同時運行即進(jìn)程并發(fā)執(zhí)行，所以，所有的現(xiàn)代操作系統(tǒng)都支持將一個進(jìn)程代理一個用戶。2.存儲器保護(hù)對于一個安全操作系統(tǒng)，存儲器保護(hù)是一個最基本的要求。在一個單用戶系統(tǒng)中，某一時刻系統(tǒng)內(nèi)存中只運行一個用戶進(jìn)程，這時的存儲器保護(hù)只需要防止用戶進(jìn)程的內(nèi)存區(qū)。存儲器保護(hù)與存儲器管理是緊密相聯(lián)的，存儲器保護(hù)負(fù)責(zé)保證系統(tǒng)內(nèi)各任務(wù)之間互不干擾，存儲器管理則是為了更有效地利用存儲空間。3.運行域運行域（Execution Domains）包括運行狀態(tài)、運行的上下文關(guān)系以及運

11、行模式。運行域一般由硬件支持，即使沒有內(nèi)存管理與多道程序的支持，系統(tǒng)仍可以提供運行域機(jī)制。一般的域是一種基于保護(hù)環(huán)的等級式結(jié)構(gòu)。在最內(nèi)層具有最小環(huán)號的環(huán)具有最高特權(quán)，而在最外層具有最大環(huán)號的環(huán)是最小特權(quán)環(huán)。 4.輸入/輸出訪問控制在一個操作系統(tǒng)的所有功能中，輸入/輸出一般是最復(fù)雜的，雖然支持進(jìn)程、存儲器管理以及域結(jié)構(gòu)等功能的硬件為程序員提供了很大的方便，但由硬件實現(xiàn)一個容易理解的I/O系統(tǒng)似乎與程序員所關(guān)心的問題是相悖的。人們往往首先從系統(tǒng)的I/O部分尋找操作系統(tǒng)安全方面的缺陷，因為硬件對I/O系統(tǒng)的安全幾乎沒有什么幫助，在大型機(jī)中利用硬件支持I/O系統(tǒng)的目的是出于價格與性能的考慮，而不是出于

12、安全的原因。9.3.操作系統(tǒng)安全 (續(xù)) 5.安全核在構(gòu)造高度安全的操作系統(tǒng)時，安全核技術(shù)是目前唯一最常用的技術(shù)。安全核技術(shù)的基礎(chǔ)是引用監(jiān)控器，它是負(fù)責(zé)實施系統(tǒng)安全策略的硬件與軟件的組合體。由安全策略描述的訪問判決是基于訪問控制數(shù)據(jù)庫中的信息作出的。訪問控制數(shù)據(jù)庫體現(xiàn)了系統(tǒng)的安全狀態(tài)，它包括安全屬性與訪問權(quán)之類的信息。 6.審計審計作為一種事后追查的手段來保護(hù)系統(tǒng)的安全，事實上，審計就是對涉及系統(tǒng)安全的操作做一個完整的記錄，以備有違反系統(tǒng)安全規(guī)則的事件發(fā)生后能夠有效地追查事件發(fā)生的地點及過程。 7.安全模型安全模型的目的在于明確地表達(dá)這些要求。安全模型具有以下幾個性質(zhì)：精確、無歧義。簡易和抽象

13、。一般性，只涉及安全性質(zhì)，而不過度地抑制系統(tǒng)的功能或其實現(xiàn)。是安全策略的明顯表現(xiàn)。 9.3.操作系統(tǒng)安全 (續(xù)) 設(shè)置安全強(qiáng)壯密碼的原則 :所有安全強(qiáng)壯的密碼至少要有下列四方面內(nèi)容的三種： 大寫字母； 小寫字母； 數(shù)字； 非字母數(shù)字的字符，如標(biāo)點符號等。安全的密碼還要符合下列的規(guī)則： 不使用普通的名字或昵稱； 不使用普通的個人信息，如生日日期； 密碼里不含有重復(fù)的字母或數(shù)字； 至少使用八個字符； 應(yīng)該還要求用戶42天必須修改一次密碼。9.3.操作系統(tǒng)安全 (續(xù)) Windows操作系統(tǒng)安全：強(qiáng)制使用安全強(qiáng)壯的密碼設(shè)置安全的帳號策略系統(tǒng)文件權(quán)限的分類保護(hù)注冊表的安全消除默認(rèn)安裝目錄風(fēng)險取消默認(rèn)系

14、統(tǒng)帳號風(fēng)險刪除默認(rèn)共享風(fēng)險加強(qiáng)系統(tǒng)打印驅(qū)動的安全加強(qiáng)共享系統(tǒng)對象的安全手動查找并清除木馬程序加強(qiáng)對域和帳號數(shù)據(jù)庫的管理修改共享目錄默認(rèn)控制權(quán)限禁止不必要的服務(wù)防范NetBIOS漏洞攻擊9.3.操作系統(tǒng)安全 (續(xù)) Windows操作系統(tǒng)安全： 15.防范NetBIOS漏洞攻擊 16.解決SNMP緩沖區(qū)溢出漏洞 17.加固IIS服務(wù)器的安全 18.使用IPSec來控制端口訪問 19.系統(tǒng)日志放在何處 :1.關(guān)于日志文件默認(rèn)位置：應(yīng)用程序日志、安全日志、系統(tǒng)日志、DNS等服務(wù)日志的默認(rèn)位置在系統(tǒng)安裝目錄下的system32config下。2.關(guān)于日志文件保存目錄詳細(xì)描述：安全日志文件：系統(tǒng)安裝目錄

15、system32configSecEvent.EVT系統(tǒng)日志文件：系統(tǒng)安裝目錄system32configSysEvent.EVT應(yīng)用程序日志文件：系統(tǒng)安裝目錄system32configAppEvent.EVTFTP日志默認(rèn)位置：系統(tǒng)安裝目錄system32logfilesmsftpsvc1日志文件WWW日志默認(rèn)位置：系統(tǒng)安裝目錄system32logfilesw3svc1日志文件定時(Scheduler)服務(wù)日志默認(rèn)位置：系統(tǒng)安裝目錄schedlgu.txt安全日志文件，系統(tǒng)日志文件，應(yīng)用程序日志文件，這三個日志記錄都是有系統(tǒng)的一個稱為： Event Log服務(wù)生成的，Event Log

16、的作用是記錄程序和 Windows 發(fā)送的事件消息。 9.3.操作系統(tǒng)安全 (續(xù)) Windows操作系統(tǒng)安全： 20.保護(hù)日志文件 21.進(jìn)行系統(tǒng)日志審核 22.系統(tǒng)日志審核的查看和維護(hù) 23.日志審核文件屬性的編輯 24. Windows系統(tǒng)安全小結(jié) :建議至少應(yīng)該做到以下幾條：1.經(jīng)常訪問微軟升級程序站點，了解補(bǔ)丁的最新發(fā)布情況；2.訂閱微軟安全公告，及時了解最新發(fā)現(xiàn)的Windows NT/2000系統(tǒng)漏洞；2002年微軟部分安全公告鏈接網(wǎng)址如下：/shadu/xitongld.htm。3.安裝重要升級通告服務(wù)，這樣才能盡快獲取最新的重要升級程序；9.3.操作系統(tǒng)安全 (續(xù)) UNIX操

17、作系統(tǒng)安全 ：參見教材（自學(xué)）9.4.網(wǎng)絡(luò)安全 (續(xù)) 計算機(jī)網(wǎng)絡(luò)安全簡介服務(wù)器安全 路由器安全 各種網(wǎng)絡(luò)攻擊的防范 腳本漏洞防范 如何在WEB上提高系統(tǒng)安全性和穩(wěn)定性 9.4.1.計算機(jī)網(wǎng)絡(luò)安全簡介 下面是網(wǎng)絡(luò)安全注意的幾個環(huán)節(jié)。（1）網(wǎng)絡(luò)的使用者和操作者例如，采用假的自動柜員機(jī)ATM來騙取存款用戶；利用假的終端或假的程序騙取用戶的口令信息；直接通過欺騙操作員騙取重要信息等。（2）網(wǎng)絡(luò)外部接口是網(wǎng)上黑客攻擊的主要途徑由于網(wǎng)絡(luò)外部接口與外部網(wǎng)絡(luò)連接，對接口進(jìn)行攻擊可以侵入網(wǎng)絡(luò)內(nèi)部。對網(wǎng)絡(luò)外部接口進(jìn)行攻擊具有花費少、挑戰(zhàn)性強(qiáng)、不易發(fā)現(xiàn)等特點。管理不善、系統(tǒng)的脆弱性和可能的后門是這種攻擊成功的關(guān)鍵

18、。（3）網(wǎng)絡(luò)連接是網(wǎng)絡(luò)安全的又一個薄弱環(huán)節(jié)由于網(wǎng)絡(luò)的分布地域廣，管理者或使用者不可能時刻監(jiān)測網(wǎng)絡(luò)的各處連線，使在網(wǎng)絡(luò)連線上進(jìn)行竊聽、替代、篡改、假冒成為可能。特別對于城域網(wǎng)、國家專用網(wǎng)絡(luò)等分布區(qū)域較大的網(wǎng)絡(luò)。（4）主機(jī)和網(wǎng)絡(luò)站點是內(nèi)部人員攻擊的主要目標(biāo)管理和審計的不完善是主機(jī)和內(nèi)部站點受攻擊的主要原因。由于網(wǎng)絡(luò)操作人員類型復(fù)雜、數(shù)量多，管理和控制相對困難，難免在其中有利益驅(qū)動作案的。此外，由于某些網(wǎng)絡(luò)站點或連接設(shè)備的電磁輻射，也可能導(dǎo)致敏感信息的流失。（5）網(wǎng)絡(luò)交換設(shè)備、控制設(shè)備、網(wǎng)絡(luò)管理設(shè)備等更是攻擊的重要目標(biāo)這些設(shè)備是網(wǎng)絡(luò)的中心，破壞這些設(shè)備可以使整個網(wǎng)絡(luò)癱瘓。9.4.1.計算機(jī)網(wǎng)絡(luò)安全簡

19、介（續(xù)） 網(wǎng)絡(luò)中所采用的安全機(jī)制主要有以下幾種：1加密和隱藏機(jī)制2認(rèn)證機(jī)制3審計4完整性保護(hù)5權(quán)利控制和存取控制6業(yè)務(wù)填充7路由控制8公證機(jī)制9冗余和備份9.4.1.計算機(jī)網(wǎng)絡(luò)安全簡介（續(xù)） 常用安全協(xié)議：X.509協(xié)議Kerberos協(xié)議PGP（Pretty Good Privacy） PEM （ Privacy Enhance Mail） SHTTP/HTTPSSL 9.4.2.服務(wù)器安全 （續(xù)） WEB服務(wù)器安全 ：保護(hù)Web服務(wù)的方法：1.用防火墻保護(hù)網(wǎng)站，可以有效地對數(shù)據(jù)包進(jìn)行過濾，是網(wǎng)站的第一道防線；2.用入侵監(jiān)測系統(tǒng)監(jiān)測網(wǎng)絡(luò)數(shù)據(jù)包，可以捕捉危險或有惡意的訪問動作，并能按指定的規(guī)則

20、，以記錄、阻斷、發(fā)警報等等多種方式進(jìn)行響應(yīng)，既可以實時阻止入侵行為，又能夠記錄入侵行為以追查攻擊者；3.正確配置Web服務(wù)器，跟蹤并安裝服務(wù)器軟件的最新補(bǔ)??；4.服務(wù)器軟件只保留必要的功能，關(guān)閉不必要的諸如FTP、SMTP等公共服務(wù)，修改系統(tǒng)安裝時設(shè)置的默認(rèn)口令，使用足夠安全的口令；5.遠(yuǎn)程管理服務(wù)器使用安全的方法如SSH，避免運行使用明文傳輸口令的telnet、ftp等程序；6.謹(jǐn)慎使用CGI程序和ASP、PHP腳本程序；7.使用網(wǎng)絡(luò)安全檢測產(chǎn)品對安全情況進(jìn)行檢測，發(fā)現(xiàn)并彌補(bǔ)安全隱患。9.4.2.服務(wù)器安全 （續(xù)） FTP服務(wù)器安全 ：保護(hù)FTP服務(wù)的方法：1.禁止匿名登錄2.設(shè)置訪問日志。

21、 3.強(qiáng)化訪問控制列表。 4.設(shè)置站點為不可視。 5.使用磁盤配額 6.使用訪問時間限制 7.基于IP策略的訪問控制 8.審計登錄事件 9.使用安全密碼策略 10.限制登錄次數(shù) 9.4.2.服務(wù)器安全 （續(xù)） 郵件服務(wù)器安全 ：目前互連網(wǎng)上的郵件服務(wù)器所受攻擊有兩類：一類就是中繼利用（Relay），即遠(yuǎn)程機(jī)器通過你的服務(wù)器來發(fā)信，這樣任何人都可以利用你的服務(wù)器向任何地址發(fā)郵件，久而久之，你的機(jī)器不僅成為發(fā)送垃圾郵件的幫兇，也會使你的網(wǎng)絡(luò)流量激增，同時將可能被網(wǎng)上的很多郵件服務(wù)器所拒絕；另一類攻擊稱為垃圾郵件（Spam），即人們常說的郵件炸彈，是指在很短時間內(nèi)服務(wù)器可能接收大量無用的郵件，從而使

22、郵件服務(wù)器不堪負(fù)載而出現(xiàn)癱瘓。這兩種攻擊都可能使郵件服務(wù)器無法正常工作。防止郵件服務(wù)器被攻擊的方法有三種：一種是升級高版本的服務(wù)器軟件，利用軟件自身的安全功能限制垃圾郵件的大量轉(zhuǎn)發(fā)或訂閱反垃圾郵件服務(wù)；第二種就是采用第三方軟件利用諸如動態(tài)中繼驗證控制功能來實現(xiàn)，從而確保接受郵件的正確性；第三種是配置病毒網(wǎng)關(guān)、病毒過濾等功能，從網(wǎng)絡(luò)的入口開始，阻止來自互聯(lián)網(wǎng)的郵件病毒入侵，同時還要防止它們在進(jìn)出公司內(nèi)部網(wǎng)絡(luò)時的傳播。9.4.2.服務(wù)器安全 （續(xù)） DNS服務(wù)器安全 ：由于DNS服務(wù)使用UDP協(xié)議，因此對于攻擊者而言，更容易把攻擊焦點集中在DNS服務(wù)上。DNS服務(wù)面臨的威脅包括：緩存區(qū)中毒：這種攻

23、擊是指黑客在主DNS服務(wù)器向輔DNS服務(wù)器進(jìn)行區(qū)域傳輸時插入錯誤的DNS信息，一旦成功，攻擊者便可使輔DNS服務(wù)器提供錯誤的名稱到IP地址的解析信息；如果使用DNS緩存?zhèn)卧煨畔⒌脑?，攻擊者可以改變發(fā)向合法站點的傳輸流方向，使它傳送到攻擊者控制的站點上；拒絕服務(wù)：對某些域名服務(wù)器的大規(guī)模拒絕服務(wù)攻擊會造成互聯(lián)網(wǎng)速度普遍下降或停止運行；域劫持：通過利用客戶升級自己的域注冊信息所使用的不安全機(jī)制，攻擊者可以接管域注冊過程來控制合法的域；泄漏網(wǎng)絡(luò)拓樸結(jié)構(gòu)：設(shè)置不當(dāng)?shù)腄NS將泄漏過多的網(wǎng)絡(luò)拓樸結(jié)構(gòu)：如果你的DNS服務(wù)器允許對任何人都進(jìn)行區(qū)域傳輸?shù)脑?，那么你的整個網(wǎng)絡(luò)架構(gòu)中的主機(jī)名、主機(jī)IP列表、路由器名

24、、路由器IP列表，甚至包括你的機(jī)器所在的位置等信息都會不知不覺的泄露出去。9.4.2.服務(wù)器安全 （續(xù)） DNS服務(wù)器安全 ：為了保護(hù)DNS服務(wù)器不受攻擊，首先應(yīng)當(dāng)保護(hù)DNS服務(wù)器所存儲的信息，而且此信息應(yīng)當(dāng)由創(chuàng)建和設(shè)計者才能修改。部分注冊信息的登錄方式仍然采用一些比較過時的方法，如采用電子郵件的方式就可以升級DNS注冊信息，這些過時的方法需要添加安全措施，例如采用加密的口令，或者采用安全的瀏覽器平臺工具來提供管理域代碼記錄的方式；其次是正確配置區(qū)域傳輸，即只允許相互信任的DNS服務(wù)器之間才允許傳輸解析數(shù)據(jù)；還要應(yīng)用防火墻配合使用，使得DNS服務(wù)器位于防火墻的保護(hù)之內(nèi)，只開放相應(yīng)的服務(wù)端口和協(xié)

25、議；還有一點需要注意的是使用那些較新的DNS軟件，因為他們中有些可以支持控制訪問方式記錄DNS信息，因此域名解析服務(wù)器只對那些合法的請求作出響應(yīng)。內(nèi)部的請求可以不受限制的訪問區(qū)域信息，外部的請求僅能訪問那些公開的信息；最后系統(tǒng)管理員也可以采用分離DNS的方式，內(nèi)部的系統(tǒng)與外部系統(tǒng)分別訪問不同的DNS系統(tǒng)，外部的計算機(jī)僅能訪問公共的記錄。 9.4.3.路由器安全路由器面臨的威脅有：將路由器作為攻擊平臺；拒絕服務(wù)；截獲明文傳輸配置信息等。保護(hù)路由器安全需要： 1、禁止明文傳輸配置信息2、限制系統(tǒng)物理訪問 3、加強(qiáng)口令安全 4、應(yīng)用身份驗證功能 5、禁用不必要服務(wù) 6、限制邏輯訪問 7、有限使用IC

26、MP消息類型 8、控制流量有限進(jìn)入網(wǎng)絡(luò) 9、安全使用SNMP/TELNET 9.4.4.各種網(wǎng)絡(luò)攻擊的防范防范IP欺騙攻擊 IP欺騙技術(shù)就是偽造某臺主機(jī)的IP地址的技術(shù)。通過IP地址的偽裝使得某臺主機(jī)能夠偽裝另外的一臺主機(jī)，而這臺主機(jī)往往具有某種特權(quán)或者被另外的主機(jī)所信任。假設(shè)現(xiàn)在有一個合法用戶（）已經(jīng)同服務(wù)器建立了正常的連接，攻擊者構(gòu)造攻擊的TCP數(shù)據(jù)，偽裝自己的IP為，并向服務(wù)器發(fā)送一個帶有RST位的TCP數(shù)據(jù)段。服務(wù)器接收到這樣的數(shù)據(jù)后，認(rèn)為從發(fā)送的連接有錯誤，就會清空緩沖區(qū)中建立好的連接。這時，如果合法用戶再發(fā)送合法數(shù)據(jù)，服務(wù)器就已經(jīng)沒有這樣的連接了，該用戶就必須從新開始建立連接。攻擊

27、時，偽造大量的IP地址，向目標(biāo)發(fā)送RST數(shù)據(jù)，使服務(wù)器不對合法用戶服務(wù)。雖然IP欺騙攻擊有著相當(dāng)難度，但我們應(yīng)該清醒地意識到，這種攻擊非常廣泛，入侵往往由這里開始。預(yù)防這種攻擊還是比較容易的，比如刪除UNIX中所有的/etc/hosts.equiv、$HOME/.rhosts文件，修改/etc/inetd.conf文件，使得RPC機(jī)制無法應(yīng)用。另外，還可以通過設(shè)置防火墻過濾來自外部而信源地址卻是內(nèi)部IP的報文。9.4.4.各種網(wǎng)絡(luò)攻擊的防范 （續(xù)） 2.防范緩沖區(qū)溢出攻擊緩沖區(qū)溢出（又稱堆棧溢出）攻擊是最常用的黑客技術(shù)之一。這種攻擊之所以泛濫，是由于開放源代碼程序的本質(zhì)決定的。Unix本身以及

28、其上的許多應(yīng)用程序都是用C語言編寫的，而C語言不檢查緩沖區(qū)的邊界。在某些情況下，如果用戶輸入的數(shù)據(jù)長度超過應(yīng)用程序給定的緩沖區(qū)，就會覆蓋其他數(shù)據(jù)區(qū)，這就稱作”緩沖區(qū)溢出”。一般情況下，覆蓋其他數(shù)據(jù)區(qū)的數(shù)據(jù)是沒有意義的，最多造成應(yīng)用程序錯誤；但是，如果輸入的數(shù)據(jù)是經(jīng)過“黑客”精心設(shè)計的，覆蓋緩沖區(qū)的數(shù)據(jù)恰恰是黑客的入侵程序代碼，黑客就獲取了程序的控制權(quán)。盡管這項攻擊的技術(shù)要求非常高，而一旦執(zhí)行這項攻擊的程序被設(shè)計出來卻是非常簡單的。由于緩沖區(qū)溢出是一個編程問題，所以他們只能通過修復(fù)被破壞的程序代碼來解決問題。從“緩沖區(qū)溢出攻擊”的原理可以看出，要防止此類攻擊，我們可以在開放程序時仔細(xì)檢查溢出情況

29、，不允許數(shù)據(jù)溢出緩沖區(qū)。經(jīng)常檢查操作系統(tǒng)和應(yīng)用程序提供商的站點，一旦發(fā)現(xiàn)補(bǔ)丁程序就馬上下載是最好的方法。9.4.4.各種網(wǎng)絡(luò)攻擊的防范 （續(xù)） 3.防范Syn Flood攻擊 對于SYN Flood攻擊，目前尚沒有很好的監(jiān)測和防御方法，不過如果系統(tǒng)管理員熟悉攻擊方法和系統(tǒng)架構(gòu)，通過一系列的設(shè)定，也能從一定程度上降低被攻擊系統(tǒng)的負(fù)荷，減輕負(fù)面的影響。對于Windows 2000/XP/2003系統(tǒng)而言，它的SYN攻擊保護(hù)機(jī)制可以這樣考慮：正常情況下，OS對TCP連接的一些重要參數(shù)有一個常規(guī)的設(shè)置：SYN Timeout時間、SYN-ACK的重試次數(shù)、SYN報文從路由器到系統(tǒng)再到Winsock的延

30、時等等。這個常規(guī)設(shè)置針對系統(tǒng)優(yōu)化，可以給用戶提供方便快捷的服務(wù)；一旦服務(wù)器受到攻擊，SYN Half link 的數(shù)量超過系統(tǒng)中TCP活動 Half Connction最大連接數(shù)的設(shè)置，系統(tǒng)將會認(rèn)為自己受到了SYN Flood攻擊，并將根據(jù)攻擊的判斷情況作出反應(yīng)：減短SYN Timeout時間、減少SYN-ACK的重試次數(shù)、自動對緩沖區(qū)中的報文進(jìn)行延時等等措施，力圖將攻擊危害減到最低。如果攻擊繼續(xù)，超過了系統(tǒng)允許的最大Half Connection 值，系統(tǒng)已經(jīng)不能提供正常的服務(wù)了，為了保證系統(tǒng)不崩潰，可以將任何超出最大Half Connection值范圍的SYN報文隨機(jī)丟棄，保證系統(tǒng)的穩(wěn)定性

31、。 9.4.4.各種網(wǎng)絡(luò)攻擊的防范 （續(xù)） 4.防范Smurf攻擊 Smurf攻擊是利用Ping程序中使用的ICMP協(xié)議。攻擊者首先制造出源地址是受攻擊主機(jī)的IP地址的包；然后攻擊者將這些包發(fā)送給不知情的第三方，使它們成為幫兇；如果攻擊者發(fā)送足夠的ICMP包，回應(yīng)會超過受攻主機(jī)的承受能力；因此，Smurf攻擊實際上是一種IP欺騙式的攻擊，將導(dǎo)致拒絕服務(wù)攻擊的結(jié)果。9.4.4.各種網(wǎng)絡(luò)攻擊的防范 （續(xù)） 5.防范Fraggle攻擊 Fraggle攻擊與Smurf攻擊類似，只是利用UDP協(xié)議；雖然標(biāo)準(zhǔn)的端口是7，但是大多數(shù)使用Fraggle攻擊的程序允許你指定其它的端口。最好的防止系統(tǒng)受到Smur

32、f和Fraggle攻擊的方法是在防火墻上過濾掉ICMP報文，或者在服務(wù)器上禁止Ping，并且只在必要時才打開ping服務(wù)。 9.4.4.各種網(wǎng)絡(luò)攻擊的防范 （續(xù)） 6.防范Ping of Death攻擊 這種攻擊通過發(fā)送大于65536字節(jié)的ICMP包使操作系統(tǒng)崩潰；通常不可能發(fā)送大于65536個字節(jié)的ICMP包，但可以把報文分割成片段，然后在目標(biāo)主機(jī)上重組；最終會導(dǎo)致被攻擊目標(biāo)緩沖區(qū)溢出。防止系統(tǒng)受到Ping of Death攻擊的方法與防范Smurf和Fraggle攻擊是相同得，可以在防火墻上過濾掉ICMP報文，或者在服務(wù)器上禁止Ping，并且只在必要時才打開ping服務(wù)。9.4.4.各種網(wǎng)

33、絡(luò)攻擊的防范 （續(xù)） 7.防范Tear Drop攻擊 Teardrop類的攻擊利用UDP包重組時重疊偏移（假設(shè)數(shù)據(jù)包中第二片IP包的偏移量小于第一片結(jié)束的位移，而且算上第二片IP包的Data，也未超過第一片的尾部，這就是重疊現(xiàn)象）。的漏洞對系統(tǒng)主機(jī)發(fā)動拒絕服務(wù)攻擊，最終導(dǎo)致主機(jī)菪掉；對于Windows 2000/XP/2003系統(tǒng)會導(dǎo)致藍(lán)屏死機(jī)，并顯示STOP 0 x0000000A錯誤。對付這種類型得攻擊最好的方法就是要及時為操作系統(tǒng)打補(bǔ)丁了，但是Teardrop攻擊仍然會耗費處理器的資源和主機(jī)帶寬。9.4.4.各種網(wǎng)絡(luò)攻擊的防范 （續(xù)） 8.防范拒絕服務(wù)攻擊 盡管目前沒有哪個網(wǎng)絡(luò)可以免受拒

34、絕服務(wù)（DoS）攻擊，但如果采取以下幾項措施，能起到一定的預(yù)防作用。1.確保所有服務(wù)器采用最新系統(tǒng)，并打上安全補(bǔ)丁。根據(jù)計算機(jī)緊急響應(yīng)協(xié)調(diào)中心的發(fā)現(xiàn)，幾乎每個受到DoS攻擊的系統(tǒng)都沒有及時打上補(bǔ)丁。2.確保管理員對所有主機(jī)進(jìn)行檢查，而不僅針對關(guān)鍵主機(jī)。這是為了確保管理員知道每個主機(jī)系統(tǒng)在運行什么？誰在使用主機(jī)？哪些人可以訪問主機(jī)？否則，即使黑客侵犯了系統(tǒng)，也很難查明。3. 確保從服務(wù)器相應(yīng)的目錄或文件數(shù)據(jù)庫中刪除未使用的服務(wù)，如FTP或NFS。4.禁止內(nèi)部網(wǎng)通過Modem連接至PSTN系統(tǒng)。否則，黑客能通過電話線發(fā)現(xiàn)未受保護(hù)的主機(jī)，立刻就能訪問極為機(jī)密的數(shù)據(jù)。5.禁止使用網(wǎng)絡(luò)訪問程序如Teln

35、et、Ftp、Rsh、Rlogin和Rcp，使用加密的訪問程序（如SSH）取代。SSH不會在網(wǎng)上以明文格式傳送口令，而Telnet和Rlogin則正好相反，黑客能搜尋到這些口令，從而立即訪問網(wǎng)絡(luò)上的重要服務(wù)器。此外，若沒有必要使用Rlogin登錄，則最好在Unix上應(yīng)該將.rhost和hosts.equiv文件刪除，因為不用猜口令，這些文件就會提供登錄訪問。6.限制在防火墻外的網(wǎng)絡(luò)文件共享。否則的話會使黑客有機(jī)會截獲系統(tǒng)文件，并以特洛伊木馬替換它，文件傳輸功能無異將陷入癱瘓。7.確保手頭有一張最新的網(wǎng)絡(luò)拓?fù)鋱D。這張圖應(yīng)該詳細(xì)標(biāo)明TCP/IP地址、主機(jī)、路由器及其他網(wǎng)絡(luò)設(shè)備，還應(yīng)該包括網(wǎng)絡(luò)邊界、

36、安全服務(wù)器區(qū)（SSN）及內(nèi)部網(wǎng)部分。8.應(yīng)用防火墻系統(tǒng)，在防火墻上運行端口映射程序或端口掃描程序。大多數(shù)事件是由于防火墻配置不當(dāng)造成的，使DoS/DDoS攻擊成功率很高，所以定要認(rèn)真檢查特權(quán)端口和非特權(quán)端口。9.檢查所有網(wǎng)絡(luò)設(shè)備、主機(jī)和服務(wù)器系統(tǒng)的日志。只要日志出現(xiàn)漏洞或時間出現(xiàn)變更，幾乎可以肯定：相關(guān)的主機(jī)安全受到了危脅。9.4.5.腳本漏洞防范 1、防范CGI腳本漏洞 CGI（COMMOM GATE INTERFACE）是外部應(yīng)用程序與WEB服務(wù)器交互的一個標(biāo)準(zhǔn)接口，它可以完成客戶端與服務(wù)器的交互操作。CGI帶來了動態(tài)的網(wǎng)頁服務(wù)，CGI腳本是主頁安全漏洞的主要來源，這主要是由于CGI程序設(shè)

37、計不當(dāng)，暴露了未經(jīng)授權(quán)的數(shù)據(jù)。通過構(gòu)造特殊字符串給CGI程序就可能得到這種權(quán)限。防范CGI腳本漏洞主要是：1.使用最新版本的Web服務(wù)器，安裝最新的補(bǔ)丁程序，正確配置服務(wù)器；2.按照幫助文件正確安裝CGI程序，刪除不必要的安裝文件和臨時文件；3.使用C編寫CGI程序時，使用安全的函數(shù)；4.使用安全有效的驗證用戶身份的方法；5.驗證用戶的來源，防止用戶短時間內(nèi)過多動作；6.推薦過濾“& ； ” | * ? ( ) $ n r t 0 #./；7.在設(shè)計CGI腳本時，其對輸入數(shù)據(jù)的長度有嚴(yán)格限制；8.實現(xiàn)功能時制定安全合理的策略，CGI程序還應(yīng)具有檢查異常情況的功能，在檢查出陌生數(shù)據(jù)后CGI應(yīng)能及

38、時處理這些情況。9.4.5.腳本漏洞防范（續(xù)） 2、防范Asp腳本漏洞 目前，大多數(shù)網(wǎng)站上的ASP程序有這樣那樣的安全漏洞，但如果編寫程序的時候注意一點的話，還是可以避免的。1用戶名與口令被破解攻擊原理：用戶名與口令，往往是黑客們最感興趣的東西，如果被通過某種方式看到源代碼，后果是嚴(yán)重的。防范技巧：涉及用戶名與口令的程序最好封裝在服務(wù)器端，盡量少在ASP文件里出現(xiàn)，涉及與數(shù)據(jù)庫連接的用戶名與口令應(yīng)給予最小的權(quán)限。出現(xiàn)次數(shù)多的用戶名與口令可以寫在一個位置比較隱蔽的包含文件中。如果涉及與數(shù)據(jù)庫連接，在理想狀態(tài)下只給它以執(zhí)行存儲過程的權(quán)限，千萬不要直接給予該用戶修改、插入、刪除記錄的權(quán)限。9.4.5

39、.腳本漏洞防范（續(xù)） 2、防范Asp腳本漏洞 2驗證被繞過攻擊原理：現(xiàn)在需要經(jīng)過驗證的ASP程序大多是在頁面頭部加一個判斷語句，但這還不夠，有可能被黑客繞過驗證直接進(jìn)入。防范技巧：需要經(jīng)過驗證的ASP頁面，可跟蹤上一個頁面的文件名，只有從上一頁面轉(zhuǎn)進(jìn)來的會話才能讀取這個頁面。3inc文件泄露問題攻擊原理：當(dāng)存在ASP的主頁正在制作且沒有進(jìn)行最后調(diào)試完成以前，可以被某些搜索引擎機(jī)動追加為搜索對象。如果這時候有人利用搜索引擎對這些網(wǎng)頁進(jìn)行查找，會得到有關(guān)文件的定位，并能在瀏覽器中查看到數(shù)據(jù)庫地點和結(jié)構(gòu)的細(xì)節(jié)，并以此揭示完整的源代碼。防范技巧：程序員應(yīng)該在網(wǎng)頁發(fā)布前對它進(jìn)行徹底的調(diào)試；安全專家則需要

40、加固ASP文件以便外部的用戶不能看到它們。首先對.inc文件內(nèi)容進(jìn)行加密，其次也可以使用.asp文件代替.inc文件使用戶無法從瀏覽器直接觀看文件的源代碼。inc文件的文件名不要使用系統(tǒng)默認(rèn)的或者有特殊含義容易被用戶猜測到的名稱，盡量使用無規(guī)則的英文字母。9.4.5.腳本漏洞防范（續(xù)） 2、防范Asp腳本漏洞 4自動備份被下載攻擊原理：在有些編輯ASP程序的工具中，當(dāng)創(chuàng)建或者修改一個ASP文件時，編輯器自動創(chuàng)建一個備份文件，比如：UltraEdit就會備份一個.bak文件，如你創(chuàng)建或者修改了some.asp，編輯器會自動生成一個叫some.asp.bak文件，如果你沒有刪除這個bak文件，攻擊

41、者可以直接下載some.asp.bak文件，這樣some.asp的源程序就會被下載。防范技巧：上傳程序之前要仔細(xì)檢查，刪除不必要的文檔。對以BAK為后綴的文件要特別小心。9.4.5.腳本漏洞防范（續(xù)） 2、防范Asp腳本漏洞 5特殊字符攻擊原理：輸入框是黑客利用的一個目標(biāo)，他們可以通過輸入腳本語言等對用戶客戶端造成損壞；如果該輸入框涉及數(shù)據(jù)查詢，他們會利用特殊查詢語句，得到更多的數(shù)據(jù)庫數(shù)據(jù)，甚至表的全部。因此必須對輸入框進(jìn)行過濾。但如果為了提高效率僅在客戶端進(jìn)行輸入合法性檢查，仍有可能被繞過。防范技巧：在處理類似留言板、BBS等輸入框的ASP程序中，最好屏蔽掉HTML、JavaScript、V

42、BScript語句，如無特殊要求，可以限定只允許輸入字母與數(shù)字，屏蔽掉特殊字符。同時對輸入字符的長度進(jìn)行限制。而且不但要在客戶端進(jìn)行輸入合法性檢查，同時要在服務(wù)器端程序中進(jìn)行類似檢查。9.4.5.腳本漏洞防范（續(xù)） 2、防范Asp腳本漏洞 6數(shù)據(jù)庫下載漏洞攻擊原理：在用Access做后臺數(shù)據(jù)庫時，如果有人通過各種方法知道或者猜到了服務(wù)器的Access數(shù)據(jù)庫的路徑和數(shù)據(jù)庫名稱，那么他也能夠下載這個Access數(shù)據(jù)庫文件，這是非常危險的。防范技巧：（1）為你的數(shù)據(jù)庫文件名稱起個復(fù)雜的非常規(guī)的名字，并把它放在幾層目錄下。所謂 “非常規(guī)”，打個比方說，比如有個數(shù)據(jù)庫要保存的是有關(guān)書籍的信息，可不要給它

43、起個“book.mdb”的名字，而要起個怪怪的名稱，比如d34ksfslf.mdb，并把它放在如./kdslf/i44/studi/的幾層目錄下，這樣黑客要想通過猜的方式得到你的Access數(shù)據(jù)庫文件就難上加難了。（2）不要把數(shù)據(jù)庫名寫在程序中。有些人喜歡把DSN寫在程序中，比如： DBPath = Server.MapPath（“cmddb.mdb”）conn.Open “driver=Microsoft Access Driver （*.mdb）；dbq=” & DBPath 假如萬一給人拿到了源程序，你的Access數(shù)據(jù)庫的名字就一覽無余了。因此建議你在ODBC里設(shè)置數(shù)據(jù)源，再在程序中這

44、樣寫：conn.open“shujiyuan”（3）使用Access來為數(shù)據(jù)庫文件編碼及加密。首先在“工具安全加密/解密數(shù)據(jù)庫”中選取數(shù)據(jù)庫（如：employer.mdb），然后按確定，接著會出現(xiàn)“數(shù)據(jù)庫加密后另存為”的窗口，可存為：“employer1.mdb”。要注意的是，以上的動作并不是對數(shù)據(jù)庫設(shè)置密碼，而只是對數(shù)據(jù)庫文件加以編碼，目的是為了防止他人使用別的工具來查看數(shù)據(jù)庫文件的內(nèi)容。接下來我們?yōu)閿?shù)據(jù)庫加密，首先打開經(jīng)過編碼了的 employer1.mdb，在打開時，選擇“獨占”方式。然后選取功能表的“工具安全設(shè)置數(shù)據(jù)庫密碼”，接著輸入密碼即可。這樣即使他人得到了employer1.md

45、b文件，沒有密碼他也是無法看到 employer1.mdb中的內(nèi)容。9.4.5.腳本漏洞防范（續(xù)） 3、防范Php腳本漏洞4、防范Jsp腳本漏洞 參見教材（自學(xué)）9.4.6. 在WEB上提高系統(tǒng)安全性和穩(wěn)定性1web服務(wù)器安全預(yù)防措施：（1限制在web服務(wù)器開帳戶，定期刪除一些斷進(jìn)程的用戶。2對在web服務(wù)器上開的帳戶，在口令長度及定期更改方面作出要求，防止被盜用。 3盡量使ftp， mail等服務(wù)器與之分開，去掉ftp，sendmail，tftp，NIS， NFS，finger，netstat等一些無關(guān)的應(yīng)用。4在web服務(wù)器上去掉一些絕對不用的shell等之類解釋器，即當(dāng)cgi的程序中沒用

46、到perl時，就盡量把perl在系統(tǒng)解釋器中刪除掉。5定期查看服務(wù)器中的日志logs文件，分析一切可疑事件。在errorlog 中出現(xiàn)rm， login， /bin/perl， /bin/sh 等之類記錄時，服務(wù)器可能有受到一些非法用戶的入侵的嘗試。6設(shè)置好web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性，對可讓人訪問的文檔分配一個公用的組如：www，并只分配它只讀的權(quán)利。把所有的HTML文件歸屬WWW組，由WEB管理員管理WWW組。對于WEB的配置文件僅對WEB管理員有寫的權(quán)利。9.4.6. 在WEB上提高系統(tǒng)安全性和穩(wěn)定性（續(xù)） 1web服務(wù)器安全預(yù)防措施：7有些WEB服務(wù)器把WEB的文檔目錄與FTP目

47、錄指在同一目錄時，應(yīng)該注意不要把FTP的目錄與CGI-BIN指定在一個目錄之下。這樣是為了防止一些用戶通過 FTP上在一些尤如PERL或SH之類程序并用WEB的CGI-BIN去執(zhí)行造成不良后果。8通過限制許可訪問用戶IP或DNS如： 在NCSA中的access.conf中加上： order mutual-failure deny from all allow from 168.160.142. 這樣只能是以域名為或IP屬于168.160.142的客戶訪問該WEB服務(wù)器。對于CERN或W3C服務(wù)器可以這樣在httpd.conf中加上： Protection LOCAL-USERS GetMask

48、 (*.， *.， ) Protect /relative/path/to/directory/* LOCAL-USERS 9.4.6. 在WEB上提高系統(tǒng)安全性和穩(wěn)定性（續(xù)） 1web服務(wù)器安全預(yù)防措施：9WINDOWS下HTTPD Netscape Communications Server for NT Perl解釋器的漏洞：Netscape Communications Server中無法識別cgi-bin下的擴(kuò)展名及其應(yīng)用關(guān)系，如：.pl是PERL的代碼程序自動調(diào)用 perl.exe文件解釋，即使現(xiàn)在也只能把perl.exe文件存放在cgi-bin目錄之下。執(zhí)行如：/cgi-bin/perl.exe?&my_script.pl. 但是這就給任何人都有執(zhí)行 perl的可能，當(dāng)有些人在其瀏覽器的URL中加上如：/cgi-bin/perl.exe?&-e+unlink+%3C*%3E 時，有可能造成刪除服務(wù)器當(dāng)前目錄下文件的危險。但是，其他如：OReilly WebSite或Purveyor都不存在這種漏洞。CGI執(zhí)行批處理文件的漏洞：文件名：test.bat: echo off echo Content-type: text/plain echo