web服務(wù)面臨的安全威脅：
創(chuàng)新互聯(lián)專注于淇濱企業(yè)網(wǎng)站建設(shè),成都響應(yīng)式網(wǎng)站建設(shè)公司,成都做商城網(wǎng)站。淇濱網(wǎng)站建設(shè)公司,為淇濱等地區(qū)提供建站服務(wù)。全流程按需制作網(wǎng)站，專業(yè)設(shè)計(jì)，全程項(xiàng)目跟蹤，創(chuàng)新互聯(lián)專業(yè)和態(tài)度為您提供的服務(wù)
1、安全信息被破譯：WEB服務(wù)器的安全信息如口令、密鑰等被破譯，導(dǎo)致攻擊者進(jìn)入WEB服務(wù)器。
2、非法訪問(wèn)：未授權(quán)者非法訪問(wèn)了WEB上的文件。
3、交易信息被截獲：當(dāng)用戶向服務(wù)器傳輸交易信息時(shí)被截獲。
4、軟件漏洞被攻擊者利用：系統(tǒng)中的軟件錯(cuò)誤被攻擊者利用，使系統(tǒng)被破壞和損壞，甚至引起系統(tǒng)崩潰。
5、用CGI腳本編寫(xiě)的程序或其他涉及遠(yuǎn)程用戶從瀏覽器中輸入表格并進(jìn)行像檢索之類在主機(jī)直接操作命令時(shí)，給WEB主機(jī)系統(tǒng)造成危險(xiǎn)。
什么是 Web安全？
Web安全是計(jì)算機(jī)術(shù)語(yǔ)。隨著Web2.0、社交網(wǎng)絡(luò)等一系列新型的互聯(lián)網(wǎng)產(chǎn)品誕生問(wèn)世，基于Web環(huán)境的互聯(lián)網(wǎng)應(yīng)用越來(lái)越廣泛，企業(yè)信息化的過(guò)程中各種應(yīng)用都架設(shè)在Web平臺(tái)上，Web業(yè)務(wù)的迅速發(fā)展也引起黑客們的窺探，接踵而至的就是Web安全威脅的凸顯。
黑客利用網(wǎng)站操作系統(tǒng)的漏洞和Web服務(wù)程序的SQL注入漏洞等得到Web服務(wù)器的控制權(quán)限，輕則篡改網(wǎng)頁(yè)內(nèi)容，重則竊取重要內(nèi)部數(shù)據(jù)，更為嚴(yán)重的則是在網(wǎng)頁(yè)中植入惡意代碼，使得網(wǎng)站訪問(wèn)者受到侵害。
Web安全的現(xiàn)狀及原因
目前，很多業(yè)務(wù)都依賴于互聯(lián)網(wǎng)，無(wú)論是網(wǎng)上銀行、網(wǎng)上購(gòu)物、還是網(wǎng)絡(luò) 游戲 等，惡意攻擊者們出于各種不良目的，對(duì)Web 服務(wù)器進(jìn)行攻擊，想方設(shè)法通過(guò)各種手段獲取他人的個(gè)人賬戶信息謀取利益。正是如此，Web業(yè)務(wù)平臺(tái)最容易遭受攻擊。
而針對(duì)Web服務(wù)器的攻擊也是五花八門(mén)，常見(jiàn)的有掛馬、SQL注入、緩沖區(qū)溢出、嗅探、利用IIS等針對(duì)Webserver漏洞進(jìn)行攻擊。
一方面，由于TCP/IP的設(shè)計(jì)是沒(méi)有考慮安全問(wèn)題的，網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)是沒(méi)有任何安全防護(hù)。攻擊者們可利用系統(tǒng)漏洞造成系統(tǒng)進(jìn)程緩沖區(qū)溢出，攻擊者可能獲得或者提升自己在有漏洞的系統(tǒng)上的用戶權(quán)限來(lái)運(yùn)行任意程序，甚至安裝和運(yùn)行惡意代碼，竊取機(jī)密數(shù)據(jù)。
而應(yīng)用層面的軟件在開(kāi)發(fā)過(guò)程中也沒(méi)有過(guò)多考慮到安全的問(wèn)題，這使得程序本身存在很多漏洞，諸如緩沖區(qū)溢出、SQL注入等等流行的應(yīng)用層攻擊，這些都屬于在軟件研發(fā)過(guò)程中疏忽了對(duì)安全的考慮所致。
另一方面，個(gè)人用戶由于好奇心，被攻擊者利用木馬或病毒程序進(jìn)行攻擊，攻擊者將木馬或病毒程序捆綁在一些誘人的圖片、音視頻或免費(fèi)軟件等文件中，然后將這些文件置于某些網(wǎng)站當(dāng)中，再引誘用戶去單擊或下載運(yùn)行，或通過(guò)電子郵件附件和QQ、MSN等即時(shí)聊天軟件，將這些捆綁了木馬或病毒的文件發(fā)送給用戶，讓用戶打開(kāi)或運(yùn)行這些文件。
Web安全的三個(gè)細(xì)分
Web安全主要分為:1、保護(hù)服務(wù)器及其數(shù)據(jù)的安全。2、保護(hù)服務(wù)器和用戶之間傳遞的信息的安全。3、保護(hù)Web應(yīng)用客戶端及其環(huán)境安全這三個(gè)方面。
Web應(yīng)用防火墻
Web應(yīng)用安全問(wèn)題本質(zhì)上源于軟件質(zhì)量問(wèn)題。但Web應(yīng)用相較傳統(tǒng)的軟件，具有其獨(dú)特性。Web應(yīng)用往往是某個(gè)機(jī)構(gòu)所獨(dú)有的應(yīng)用，對(duì)其存在的漏洞，已知的通用漏洞簽名缺乏有效性；
需要頻繁地變更以滿足業(yè)務(wù)目標(biāo)，從而使得很難維持有序的開(kāi)發(fā)周期；需要全面考慮客戶端與服務(wù)端的復(fù)雜交互場(chǎng)景，而往往很多開(kāi)發(fā)者沒(méi)有很好地理解業(yè)務(wù)流程；人們通常認(rèn)為Web開(kāi)發(fā)比較簡(jiǎn)單，缺乏經(jīng)驗(yàn)的開(kāi)發(fā)者也可以勝任。
Web應(yīng)用安全，理想情況下應(yīng)該在軟件開(kāi)發(fā)生命周期遵循安全編碼原則，并在各階段采取相應(yīng)的安全措施。
然而，多數(shù)網(wǎng)站的實(shí)際情況是：大量早期開(kāi)發(fā)的Web應(yīng)用，由于 歷史 原因，都存在不同程度的安全問(wèn)題。對(duì)于這些已上線、正提供生產(chǎn)的Web應(yīng)用，由于其定制化特點(diǎn)決定了沒(méi)有通用補(bǔ)丁可用，而整改代碼因代價(jià)過(guò)大變得較難施行或者需要較長(zhǎng)的整改周期。
這種現(xiàn)狀，專業(yè)的Web安全防護(hù)工具是一種合理的選擇。WEB應(yīng)用防火墻（以下簡(jiǎn)稱WAF）正是這類專業(yè)工具，提供了一種安全運(yùn)維控制手段：基于對(duì)HTTP/HTTPS流量的雙向分析，為Web應(yīng)用提供實(shí)時(shí)的防護(hù)。
Web應(yīng)用漏洞的防御實(shí)現(xiàn)
對(duì)于常見(jiàn)的Web應(yīng)用漏洞，應(yīng)該從3個(gè)方面入手進(jìn)行防御：
1、對(duì) Web應(yīng)用開(kāi)發(fā)者而言
大部分Web應(yīng)用常見(jiàn)漏洞都是在Web應(yīng)用開(kāi)發(fā)中，由于開(kāi)發(fā)者沒(méi)有對(duì)用戶輸入的參數(shù)進(jìn)行檢測(cè)或者檢測(cè)不嚴(yán)格造成的。所以，Web應(yīng)用開(kāi)發(fā)者應(yīng)該樹(shù)立很強(qiáng)的安全意識(shí)，開(kāi)發(fā)中編寫(xiě)安全代碼；
對(duì)用戶提交的URL、查詢關(guān)鍵字、HTTP頭、POST數(shù)據(jù)等進(jìn)行嚴(yán)格的檢測(cè)和限制，只接受一定長(zhǎng)度范圍內(nèi)、采用適當(dāng)格式及編碼的字符，阻塞、過(guò)濾或者忽略其它的任何字符。通過(guò)編寫(xiě)安全的Web應(yīng)用代碼，可以消除絕大部分的Web應(yīng)用安全問(wèn)題。
2、對(duì)Web網(wǎng)站管理員而言
作為負(fù)責(zé)網(wǎng)站日常維護(hù)管理工作Web管理員，應(yīng)該及時(shí)跟蹤并安裝最新的、支撐Web網(wǎng)站運(yùn)行的各種軟件的安全補(bǔ)丁，確保攻擊者無(wú)法通過(guò)軟件漏洞對(duì)網(wǎng)站進(jìn)行攻擊。
除了軟件本身的漏洞外，Web服務(wù)器、數(shù)據(jù)庫(kù)等不正確的配置也可能導(dǎo)致Web應(yīng)用安全問(wèn)題。Web網(wǎng)站管理員應(yīng)該對(duì)網(wǎng)站各種軟件配置進(jìn)行仔細(xì)檢測(cè)，降低安全問(wèn)題的出現(xiàn)可能。
此外，Web管理員還應(yīng)該定期審計(jì)Web服務(wù)器日志，檢測(cè)是否存在異常訪問(wèn)，及早發(fā)現(xiàn)潛在的安全問(wèn)題。
3、使用網(wǎng)絡(luò)防攻擊設(shè)備
前兩種都是預(yù)防方式，相對(duì)來(lái)說(shuō)很理想化。在現(xiàn)實(shí)中，Web應(yīng)用系統(tǒng)的漏洞仍舊不可避免：部分Web網(wǎng)站已經(jīng)存在大量的安全漏洞，而Web開(kāi)發(fā)者和網(wǎng)站管理員并沒(méi)有意識(shí)到或發(fā)現(xiàn)這些安全漏洞。
由于Web應(yīng)用是采用HTTP協(xié)議，普通的防火墻設(shè)備無(wú)法對(duì)Web類攻擊進(jìn)行防御，因此需要使用入侵防御設(shè)備來(lái)實(shí)現(xiàn)安全防護(hù)。
Web服務(wù)器攻擊常利用Web服務(wù)器軟件和配置中的漏洞，web服務(wù)器安全也是我們現(xiàn)在很多人關(guān)注的一點(diǎn)，那么你知道web服務(wù)器安全設(shè)置嗎?下面是我整理的一些關(guān)于web服務(wù)器安全設(shè)置的相關(guān)資料，供你參考。
web服務(wù)器安全設(shè)置一、IIS的相關(guān)設(shè)置
刪除默認(rèn)建立的站點(diǎn)的虛擬目錄，停止默認(rèn)web站點(diǎn)，刪除對(duì)應(yīng)的文件目錄c:inetpub，配置所有站點(diǎn)的公共設(shè)置，設(shè)置好相關(guān)的連接數(shù)限制， 帶寬設(shè)置以及性能設(shè)置等其他設(shè)置。配置應(yīng)用程序映射，刪除所有不必要的應(yīng)用程序擴(kuò)展，只保留asp，php，cgi，pl，aspx應(yīng)用程序擴(kuò)展。對(duì)于php和cgi，推薦使用isapi方式解析，用exe解析對(duì)安全和性能有所影響。用戶程序調(diào)試設(shè)置發(fā)送文本錯(cuò)誤信息給客戶。
對(duì)于數(shù)據(jù)庫(kù)，盡量采用mdb后綴，不需要更改為asp，可在IIS中設(shè)置一個(gè)mdb的擴(kuò)展映射，將這個(gè)映射使用一個(gè)無(wú)關(guān)的dll文件如C:WINNTsystem32inetsrvssinc.dll來(lái)防止數(shù)據(jù)庫(kù)被下載。設(shè)置IIS的日志保存目錄，調(diào)整日志記錄信息。設(shè)置為發(fā)送文本錯(cuò)誤信息。修改403錯(cuò)誤頁(yè)面，將其轉(zhuǎn)向到其他頁(yè)，可防止一些掃描器的探測(cè)。另外為隱藏系統(tǒng)信息，防止telnet到80端口所泄露的系統(tǒng)版本信息可修改IIS的banner信息，可以使用winhex手工修改或者使用相關(guān)軟件如banneredit修改。
對(duì)于用戶站點(diǎn)所在的目錄，在此說(shuō)明一下，用戶的FTP根目錄下對(duì)應(yīng)三個(gè)文件佳，wwwroot，database，logfiles，分別存放站點(diǎn)文件，數(shù)據(jù)庫(kù)備份和該站點(diǎn)的日志。如果一旦發(fā)生入侵事件可對(duì)該用戶站點(diǎn)所在目錄設(shè)置具體的權(quán)限，圖片所在的目錄只給予列目錄的權(quán)限，程序所在目錄如果不需要生成文件(如生成html的程序)不給予寫(xiě)入權(quán)限。因?yàn)槭翘摂M主機(jī)平常對(duì)腳本安全沒(méi)辦法做到細(xì)致入微的地步。
方法
用戶從腳本提升權(quán)限：
web服務(wù)器安全設(shè)置二、ASP的安全設(shè)置
設(shè)置過(guò)權(quán)限和服務(wù)之后，防范asp木馬還需要做以下工作，在cmd窗口運(yùn)行以下命令：
regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll
即可將WScript.Shell, Shell.application, WScript.Network組件卸載，可有效防止asp木馬通過(guò)wscript或shell.application執(zhí)行命令以及使用木馬查看一些系統(tǒng)敏感信息。另法：可取消以上文件的users用戶的權(quán)限，重新啟動(dòng)IIS即可生效。但不推薦該方法。
另外，對(duì)于FSO由于用戶程序需要使用，服務(wù)器上可以不注銷掉該組件，這里只提一下FSO的防范，但并不需要在自動(dòng)開(kāi)通空間的虛擬商服務(wù)器上使用，只適合于手工開(kāi)通的站點(diǎn)。可以針對(duì)需要FSO和不需要FSO的站點(diǎn)設(shè)置兩個(gè)組，對(duì)于需要FSO的用戶組給予c:winntsystem32scrrun.dll文件的執(zhí)行權(quán)限，不需要的不給權(quán)限。重新啟動(dòng)服務(wù)器即可生效。
對(duì)于這樣的設(shè)置結(jié)合上面的權(quán)限設(shè)置，你會(huì)發(fā)現(xiàn)海陽(yáng)木馬已經(jīng)在這里失去了作用!
web服務(wù)器安全設(shè)置三、PHP的安全設(shè)置
默認(rèn)安裝的php需要有以下幾個(gè)注意的問(wèn)題：
C:\winnt\php.ini只給予users讀權(quán)限即可。在php.ini里需要做如下設(shè)置：
Safe_mode=on
register_globals = Off
allow_url_fopen = Off
display_errors = Off
magic_quotes_gpc = On [默認(rèn)是on，但需檢查一遍]
open_basedir =web目錄
disable_functions =passthru,exec,shell_exec,system,phpinfo,get_cfg_var,popen,chmod
默認(rèn)設(shè)置com.allow_dcom = true修改為false[修改前要取消掉前面的;]
web服務(wù)器安全設(shè)置四、MySQL安全設(shè)置
如果服務(wù)器上啟用MySQL數(shù)據(jù)庫(kù)，MySQL數(shù)據(jù)庫(kù)需要注意的安全設(shè)置為：
刪除mysql中的所有默認(rèn)用戶，只保留本地root帳戶，為root用戶加上一個(gè)復(fù)雜的密碼。賦予普通用戶updatedeletealertcreatedrop權(quán)限的時(shí)候，并限定到特定的數(shù)據(jù)庫(kù)，尤其要避免普通客戶擁有對(duì)mysql數(shù)據(jù)庫(kù)操作的權(quán)限。檢查mysql.user表，取消不必要用戶的shutdown_priv,reload_priv,process_priv和File_priv權(quán)限，這些權(quán)限可能泄漏更多的服務(wù)器信息包括非mysql的 其它 信息出去?？梢詾閙ysql設(shè)置一個(gè)啟動(dòng)用戶，該用戶只對(duì)mysql目錄有權(quán)限。設(shè)置安裝目錄的data數(shù)據(jù)庫(kù)的權(quán)限(此目錄存放了mysql數(shù)據(jù)庫(kù)的數(shù)據(jù)信息)。對(duì)于mysql安裝目錄給users加上讀取、列目錄和執(zhí)行權(quán)限。
Serv-u安全問(wèn)題：
安裝程序盡量采用最新版本，避免采用默認(rèn)安裝目錄，設(shè)置好serv-u目錄所在的權(quán)限，設(shè)置一個(gè)復(fù)雜的管理員密碼。修改serv-u的banner信息，設(shè)置被動(dòng)模式端口范圍(4001—4003)在本地服務(wù)器中設(shè)置中做好相關(guān)安全設(shè)置：包括檢查匿名密碼，禁用反超時(shí)調(diào)度，攔截“FTP bounce”攻擊和FXP，對(duì)于在30秒內(nèi)連接超過(guò)3次的用戶攔截10分鐘。域中的設(shè)置為：要求復(fù)雜密碼，目錄只使用小寫(xiě)字母，高級(jí)中設(shè)置取消允許使用MDTM命令更改文件的日期。
更改serv-u的啟動(dòng)用戶：在系統(tǒng)中新建一個(gè)用戶，設(shè)置一個(gè)復(fù)雜點(diǎn)的密碼，不屬于任何組。將servu的安裝目錄給予該用戶完全控制權(quán)限。建立一個(gè)FTP根目錄，需要給予這個(gè)用戶該目錄完全控制權(quán)限，因?yàn)樗械膄tp用戶上傳，刪除，更改文件都是繼承了該用戶的權(quán)限，否則無(wú)法操 作文 件。另外需要給該目錄以上的上級(jí)目錄給該用戶的讀取權(quán)限，否則會(huì)在連接的時(shí)候出現(xiàn)530 Not logged in, home directory does not exist。比如在測(cè)試的時(shí)候ftp根目錄為d:soft，必須給d盤(pán)該用戶的讀取權(quán)限，為了安全取消d盤(pán)其他文件夾的繼承權(quán)限。而一般的使用默認(rèn)的system啟動(dòng)就沒(méi)有這些問(wèn)題，因?yàn)閟ystem一般都擁有這些權(quán)限的。
web服務(wù)器安全設(shè)置五、數(shù)據(jù)庫(kù)服務(wù)器的安全設(shè)置
對(duì)于專用的MSSQL數(shù)據(jù)庫(kù)服務(wù)器，按照上文所講的設(shè)置TCP/IP篩選和IP策略，對(duì)外只開(kāi)放1433和5631端口。對(duì)于MSSQL首先需要為sa設(shè)置一個(gè)強(qiáng)壯的密碼，使用混合身份驗(yàn)證,加強(qiáng)數(shù)據(jù)庫(kù)日志的記錄,審核數(shù)據(jù)庫(kù)登陸事件的”成功和失敗”.刪除一些不需要的和危險(xiǎn)的OLE自動(dòng)存儲(chǔ)過(guò)程(會(huì)造成 企業(yè)管理 器中部分功能不能使用),這些過(guò)程包括如下:
Sp_OAcreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
去掉不需要的注冊(cè)表訪問(wèn)過(guò)程,包括有:
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue
Xp_regenumvalues Xp_regread Xp_regremovemultistring
Xp_regwrite
去掉其他系統(tǒng)存儲(chǔ)過(guò)程，如果認(rèn)為還有威脅，當(dāng)然要小心drop這些過(guò)程，可以在測(cè)試機(jī)器上測(cè)試，保證正常的系統(tǒng)能完成工作，這些過(guò)程包括：
xp_cmdshell xp_dirtree xp_dropwebtask sp_addsrvrolemember
xp_makewebtask xp_runwebtask xp_subdirs sp_addlogin
sp_addextendedproc
在實(shí)例屬性中選擇TCP/IP協(xié)議的屬性。選擇隱藏 SQL Server 實(shí)例可防止對(duì)1434端口的探測(cè),可修改默認(rèn)使用的1433端口。除去數(shù)據(jù)庫(kù)的guest賬戶把未經(jīng)認(rèn)可的使用者據(jù)之在外。 例外情況是master和 tempdb 數(shù)據(jù)庫(kù),因?yàn)閷?duì)他們guest帳戶是必需的。另外注意設(shè)置好各個(gè)數(shù)據(jù)庫(kù)用戶的權(quán)限，對(duì)于這些用戶只給予所在數(shù)據(jù)庫(kù)的一些權(quán)限。在程序中不要用sa用戶去連接任何數(shù)據(jù)庫(kù)。網(wǎng)絡(luò)上有建議大家使用協(xié)議加密的，千萬(wàn)不要這么做，否則你只能重裝MSSQL了。
一、在代碼編寫(xiě)時(shí)就要進(jìn)行漏洞測(cè)試。
二、對(duì)Web服務(wù)器進(jìn)行持續(xù)的監(jiān)控。
三、設(shè)置蜜罐，將攻擊者引向錯(cuò)誤的方向。
四、專人對(duì)Web服務(wù)器的安全性進(jìn)行測(cè)試。
在Web服務(wù)器的攻防戰(zhàn)上，這一個(gè)原則也適用。筆者建議，如果企業(yè)對(duì)于Web服務(wù)的安全比較高，如網(wǎng)站服務(wù)器上有電子商務(wù)交易平臺(tái)，此時(shí)最好設(shè)置一個(gè)專業(yè)的團(tuán)隊(duì)。他們充當(dāng)攻擊者的角色，對(duì)服務(wù)器進(jìn)行安全性的測(cè)試。這個(gè)專業(yè)團(tuán)隊(duì)主要執(zhí)行如下幾個(gè)任務(wù)?！?/p>
一是測(cè)試Web管理團(tuán)隊(duì)對(duì)攻擊行為的反應(yīng)速度。如可以采用一些現(xiàn)在比較流行的攻擊手段，對(duì)自己的Web服務(wù)器發(fā)動(dòng)攻擊。當(dāng)然這個(gè)時(shí)間是隨機(jī)的。預(yù)先Web管理團(tuán)隊(duì)并不知道。現(xiàn)在要評(píng)估的是，Web管理團(tuán)隊(duì)在多少時(shí)間之內(nèi)能夠發(fā)現(xiàn)這種攻擊的行為。這也是考驗(yàn)管理團(tuán)隊(duì)全天候跟蹤的能力。一般來(lái)說(shuō)，這個(gè)時(shí)間越短越好。應(yīng)該將這個(gè)時(shí)間控制在可控的范圍之內(nèi)。即使攻擊最后沒(méi)有成功，Web管理團(tuán)隊(duì)也應(yīng)該及早的發(fā)現(xiàn)攻擊的行為。畢竟有沒(méi)有發(fā)現(xiàn)、與最終有沒(méi)有取得成功，是兩個(gè)不同的概念。
二是要測(cè)試服務(wù)器的漏洞是否有補(bǔ)上。畢竟大部分的攻擊行為，都是針對(duì)服務(wù)器現(xiàn)有的漏洞所產(chǎn)生的?，F(xiàn)在這個(gè)專業(yè)團(tuán)隊(duì)要做的就是，這些已發(fā)現(xiàn)的漏洞是否都已經(jīng)打上了安全補(bǔ)丁或者采取了對(duì)應(yīng)的安全措施。有時(shí)候我們都沒(méi)有發(fā)現(xiàn)的漏洞是無(wú)能為力，但是對(duì)于這些已經(jīng)存在的漏洞不能夠放過(guò)。否則的話，也太便宜那些攻擊者了。
重慶分公司
重慶分公司
