網(wǎng)絡(luò)安全培訓(xùn)教程-WWW安全篇

網(wǎng)絡(luò)安全培訓(xùn)教程www安全篇張博博士生/研究生會(huì)主席西工大網(wǎng)絡(luò)信息安全中心西工大計(jì)算機(jī)學(xué)院多媒體與網(wǎng)絡(luò)安全研究室WWW安全性1HTTP協(xié)議及WWW服務(wù)2WWW服務(wù)器的安全性3Web欺騙4WWW客戶安全性5增強(qiáng)WWW的安全性本章學(xué)習(xí)目標(biāo)本章本章主要介紹了WWW的有關(guān)安全問題。通過本章學(xué)習(xí)，讀者應(yīng)該掌握以下內(nèi)容：Web與HTTP協(xié)議，HTTP數(shù)據(jù)包的過濾特性和代理特性，Web的訪問控制，HTTP的安全問題，S-HTTP和SSL的簡介，緩存的安全性；WWW服務(wù)器的安全漏洞；NCSA、Apache、Netscape的安全問題；CGI程序的安全性問題；Plug-in的安全性問題；Java與JavaScript的安全性問題；Cookies的安全性；ActiveX的安全性；Web攻擊的行為特點(diǎn)；與Web安全相關(guān)的決策；WWW客戶安全性；如何增強(qiáng)WWW的安全性；返回本章首頁1HTTP協(xié)議及WWW服務(wù)1.1HTTP協(xié)議及其安全性1.2Web的訪問控制1.3安全超文本傳輸協(xié)議S-HTTP1.5安全套接層SSL1.6緩存的安全性返回本章首頁1.1HTTP協(xié)議及其安全性HTTP協(xié)議（HypertextTransferProtocol，超文本傳輸協(xié)議）是分布式的Web應(yīng)用的核心技術(shù)協(xié)議，在TCP/IP協(xié)議棧中屬于應(yīng)用層。它定義了Web瀏覽器向Web服務(wù)器發(fā)送Web頁面請求的格式，以及Web頁面在Internet上的傳輸方式。HTTP協(xié)議允許遠(yuǎn)程用戶對遠(yuǎn)程服務(wù)器的通信請求，這會(huì)危及Web服務(wù)器和客戶的安全HTTP的另一個(gè)安全漏洞就是服務(wù)器日志。返回本節(jié)1.2Web的訪問控制IP地址并不能得到解析，因?yàn)榭蛻魴C(jī)本地名字服務(wù)器配置可能不正確，這個(gè)時(shí)候HTTP服務(wù)器就偽造一個(gè)域名繼續(xù)工作。一旦Web服務(wù)器獲得IP地址及相應(yīng)客戶的域名，便開始進(jìn)行驗(yàn)證，來決定客戶是否有權(quán)訪問請求的文檔。這其中隱含著安全漏洞?？捎靡恍┓椒▉碓鰪?qiáng)服務(wù)器的安全性

返回本節(jié)1.3安全超文本傳輸協(xié)議S-HTTPS-HTTP（SecureHyperTextTransferProtocol）是保護(hù)Internet上所傳輸?shù)拿舾行畔⒌陌踩珔f(xié)議。隨著Internet和Web對身份驗(yàn)證的需求的日益增長，用戶在彼此收發(fā)加密文件之前需要身份驗(yàn)證。S-HTTP協(xié)議也考慮了這種需要。S-HTTP的目標(biāo)是保證蓬勃發(fā)展的商業(yè)交易的傳輸安全，因而推動(dòng)了電子商務(wù)的發(fā)展。S-HTTP使Web客戶和服務(wù)器均處于安全保護(hù)之下，其信息交換也是安全的。返回本節(jié)1.4安全套接層SSLSSL（SecureSocketsLayer）是Netscape公司設(shè)計(jì)和開發(fā)的，其目的在于提高應(yīng)用層協(xié)議（如HTTP，Telnet，NNTP，F(xiàn)TP等）的安全性。SSL協(xié)議的功能包括：數(shù)據(jù)加密、服務(wù)器驗(yàn)證、信息完整性以及可選的客戶TCP/IP連接驗(yàn)證。SSL的主要目的是增強(qiáng)通信應(yīng)用程序之間的保密性和可靠性。

SSL是兩層協(xié)議，它依賴了一些可靠的傳輸協(xié)議

SSL不同于S-HTTP之處在于后者是HTTP的超集，只限于Web

SSL可以使用各種類型的加密算法和密鑰驗(yàn)證機(jī)制安全方案不僅僅只有SSL和S-HTIP返回本節(jié)1.5緩存的安全性緩存通過在本地磁盤中存儲高頻請求文件，從而大大提高Web服務(wù)的性能。不過，如果遠(yuǎn)程服務(wù)器上的文件更新了，用戶從緩存中檢索到的文件就有可能過時(shí)。而且，由于這些文件可由遠(yuǎn)程用戶取得，因而可能暴露一些公眾或外部用戶不能讀取的信息。HTTP服務(wù)器通過將遠(yuǎn)程服務(wù)器上文件的日期與本地緩存的文件日期進(jìn)行比較可以解決這個(gè)問題。返回本節(jié)2WWW服務(wù)器的安全性2.1WWW服務(wù)器的安全漏洞2.2通用網(wǎng)關(guān)接口(CGI)的安全性2.3Plug-in的安全性2.4Java與JavaScript的安全性2.5Cookies的安全性2.6ActiveX的安全性返回本章首頁2.1WWW服務(wù)器的安全漏洞1．NCSA服務(wù)器的安全漏洞2．ApacheWWW服務(wù)器的安全問題3．Netscape的WWW服務(wù)器的安全問題返回本節(jié)2.2通用網(wǎng)關(guān)接口(CGI)的安全性公共網(wǎng)關(guān)接口（CGI）提供了擴(kuò)展Web頁面功能的最靈活的方法?？蛻舴紺GI的編程用HTML標(biāo)記，讓窗口捕獲用戶的輸入，并把它傳到服務(wù)器方的應(yīng)用程序，服務(wù)器方的CGI把這些信息傳遞給應(yīng)用程序，由它返回給客戶系統(tǒng)更新的Web頁面和其他信息。1．CGI程序的編寫應(yīng)注意的問題2.CGI腳本的激活方式

3.不要依賴于隱藏變量的值4.CGI的權(quán)限問題返回本節(jié)2.3Plug-in的安全性把任何一個(gè)命令行shell、解釋器、宏處理器或腳本語言處理器作為一種文檔類型的閱讀器，都會(huì)受到Web上的攻擊。不要為任何可能包含可執(zhí)行語句的文件聲明任何外部閱讀器。Java和安全Tcl這些腳本語言會(huì)檢測到這個(gè)安全問題：它們可以防止那些危險(xiǎn)的功能。返回本節(jié)2.4Java與JavaScript的安全性盡管名字上很相似，但Java與JavaScript之間毫無瓜葛。Java是Sun公司設(shè)計(jì)的一種語言。用Java編寫的代碼編譯成一種緊湊的格式并存在連接的服務(wù)器端。JavaScript是Netscape公司設(shè)計(jì)的一系列HTML語言擴(kuò)展，它增強(qiáng)了HTML語言的動(dòng)態(tài)交互能力，并且可以把部分處理移到客戶機(jī)，減輕服務(wù)器的負(fù)載。

1.Javaapplet的安全性的問題

2.JavaScript的安全性問題

返回本節(jié)2.5Cookies的安全性Cookie是Netscape公司開發(fā)的一種機(jī)制。用來改善HTTP協(xié)議的無狀態(tài)性。Cookie是一段很小的信息，通常只有一個(gè)短短的章節(jié)標(biāo)記那么大。它是在瀏覽器第一次連接時(shí)由HTTP服務(wù)器送到瀏覽器的。以后，瀏覽器每次連接都把這個(gè)Cookie的一個(gè)拷貝返回給服務(wù)器。Cookie不能用來偷關(guān)于用戶或用戶的計(jì)算機(jī)系統(tǒng)的信息。但是大多數(shù)的Cookie是試圖改善Web瀏覽體驗(yàn)的良性嘗試，而不是侵犯隱私。

返回本節(jié)2.6ActiveX的安全性ActiveX是Microsoft公司開發(fā)的用來在Internet上分發(fā)軟件的產(chǎn)品。ActiveX控件有許多是為MicrosoftInternetExplorer(目前唯一支持它們的瀏覽器)而做的,ActiveX的安全模型與Javaapplet有很大不同。ActiveX的授權(quán)過程保證ActiveX不能被匿名分發(fā)，并且控件在公布以后不會(huì)被第三者修改。ActiveX可以從MicrosoftInternetExplorer的選項(xiàng)菜單里完全關(guān)閉。只要找到活躍內(nèi)容一項(xiàng)并選擇最安全選項(xiàng)即可實(shí)現(xiàn)關(guān)閉。返回本節(jié)3Web欺騙３.１Web攻擊的行為和特點(diǎn)３.２攻擊的原理和過程返回本章首頁３.１Web攻擊的行為和特點(diǎn)Web欺騙是指攻擊者建立一個(gè)使人相信的、Web頁站點(diǎn)的拷貝，這個(gè)假的Web站點(diǎn)拷貝就像真的一樣：它具有所有的頁面和連接。然而攻擊者控制了這個(gè)假的Web頁，被攻擊對象和真的Web站點(diǎn)之間的所有信息流動(dòng)都被攻擊者所控制了。攻擊者可以監(jiān)視和控制整個(gè)過程１．靜態(tài)地觀察２．實(shí)施破壞３．攻擊的簡單性返回本節(jié)３.２攻擊的原理和過程攻擊的關(guān)鍵在于攻擊者的Web服務(wù)器能夠插在瀏覽者和其他的Web之間1．改寫URL2．開始攻擊3．制造假象攻擊者的偽Web服務(wù)器

Web服務(wù)器受騙用戶返回本節(jié)4WWW客戶安全性4.１防范惡意代碼4.2隱私侵犯返回本章首頁１．幾種清除惡意代碼的方法

(1)解開被禁用的注冊表(2)解決IE屬性主頁不能修改(3)修改IE的標(biāo)題欄(4)IE默認(rèn)連接首頁的修改(5)

右鍵菜單中的網(wǎng)頁廣告4.１防范惡意代碼2．采取防范措施，杜絕惡意代碼

（1）管住自己（2）禁用ActiveX插件、控件和Java腳本（3）安裝防病毒軟件（4）注冊表加鎖（5）對Win2000用戶，禁用遠(yuǎn)程注冊表操作服務(wù)（6）升級IE為IE6.0以上版本（7）下載微軟最新的Microsoft

Windows

Script

5.6（8）避免重蹈覆轍返回本節(jié)4.2隱私侵犯廣泛使用的英特網(wǎng)技術(shù)已經(jīng)引起了許多個(gè)人隱私方面的問題，它還會(huì)在將來發(fā)展的過程中對個(gè)人自由的許多方面帶來意想不到的問題。涉及到一個(gè)個(gè)人隱私權(quán)的尊重與保護(hù)和公共安全之間的沖突問題。需要指出的是，并不是在任何時(shí)候保護(hù)公共安全的需要都應(yīng)當(dāng)優(yōu)先于保護(hù)和尊重個(gè)人隱私權(quán)的需要。1．網(wǎng)上數(shù)據(jù)搜集的方法2．網(wǎng)上數(shù)據(jù)搜集對個(gè)人隱私可能造成的侵害

返回本節(jié)5增強(qiáng)WWW的安全性5.１WWW安全建議5.2Web保護(hù)方法5.3Web服務(wù)器的安全措施返回本章首頁5.１WWW安全建議盡可能使用一臺專用堡壘主機(jī),應(yīng)仔細(xì)配置服務(wù)器來控制它訪問的東西；特別要注意某人會(huì)設(shè)法向系統(tǒng)裝載程序,然后通過HTTP服務(wù)器來執(zhí)行。在沒有允許內(nèi)部主機(jī)訪問所有TCP端口的情況下，不能允許它們訪問所有HTTP服務(wù)器。代理HTTP使用一個(gè)高速緩存代理服務(wù)器即可。這樣既有利于擴(kuò)展網(wǎng)絡(luò)寬度，又有利于安全。返回本節(jié)5.2Web保護(hù)方法雖然Web欺騙是危險(xiǎn)的和幾乎不可察覺的，然而還是可以采用下面的一些方法進(jìn)行保護(hù)。１．跟蹤攻擊者可以使用網(wǎng)絡(luò)監(jiān)聽或用netstat之類的工具找到攻擊者所用的服務(wù)器

2．短期的解決方法（1）關(guān)閉瀏覽器的JavaScript，使得攻擊者不能隱藏攻擊的跡象。（2）確信你的瀏覽器的地址行總是可見的。（3）留意瀏覽器地址行上顯示的URL，確信它們一定是指向所想的服務(wù)器。3．長期辦法訪問限制方法：IP地址、子網(wǎng)、域的限制；用戶名和密碼

；加密

返回本節(jié)5.3Web服務(wù)器的安全措施限制IP地址可以提供一定程序的安全性，但并不能阻止黑客攻擊站點(diǎn)。比較理想的方法是，對IP地址的限制與其他一些驗(yàn)證方法，