Web安全对策研究.docx

Web安全对策研究.docx

《Web安全对策研究.docx》由会员分享，可在线阅读，更多相关《Web安全对策研究.docx（17页珍藏版）》请在冰豆网上搜索。

Web安全对策研究

Web安全对策研究

摘要

本文主要以Web应用和服务的大众化平台——网站系统的安全为研究对象包括服务器、操作系统、数据库、编程语言和客户端，分析Web应用中存在的各种安全问题、Web网络的安全性设置问题、如何保护Web站点上的机密数据问题、各种Web服务器的安全设置问题和各种程序语言的安全问题。

在研究方法上，根据系统论的观点，将Web安全的各个问题分类，按照系统平台安全、程序安全、数据安全和通信安全的结构来组织全文。

并采用理论分析与实践结合的方法来书写文章的内容。

通过以上分析，得出了一些加强Web安全的可操作性经验和对策。

这些对策体现了现在通用的最佳实践原则。

关键词：

网站；Web安全；系统安全

ResearchonWebSecurity’sCountermeasures

Abstract

Thisthesisresearchedthesecurityofthewebsitesystem，whichisthepopularWebapplicationsandservicesplatform.Thissystemisincludeservers,operatingsystem,database,webprocedureandtheclient.ThethesisanalysisthevarioussecurityissuesofWebapplications,howtosetupasecurityconfiguration,howtoprotecttheconfidentialdataonthewebsite,allkindsofWebserver'ssecuritysettingsandvariousprogramminglanguage’ssecurity.Intheresearchmethods,accordingtothetheoryofsystem,thisthesissortoutWebsecurityissuesassystemPlatformsecurity,processsecurity,communicationsecurityandsecurityofthedata.Andthethesis'structurewasorganizedbytheclassification.Thecontentsofthethesiswerewrittennotonlybytheoreticalanalysisbutalsobypracticeapproach.Aftertheresearch,wegotsomestrengtheningofthesecurityWeboperationalexperienceandcountermeasures.Thosecountermeasuresareintheruleofbestpractice.

 keyword：

Website；WebSecurity；SystemSecurity

目录

摘要I

AbstractII

目录III

1绪论1

1.1课题背景及目的1

1.2国内外研究状况1

1.3论文构成及研究内容2

2WEB安全概述3

2.1WEB安全的定义3

2.2WEB安全面临的问题3

2.2.1WEB服务器的安全3

2.2.2WEB客户端的安全3

2.2.3WEB通信的安全4

2.3WEB安全的对策4

2.3.1物理安全策略4

2.3.2访问控制策略4

2.3.3信息加密策略5

2.3.4安全管理策略5

3系统平台安全6

 3.1操作系统6

3.1.1UNIX操作系统6

3.1.2 LINUX安全设置6

3.1.3 WINDOWS系统7

3.2WEB服务器平台8

3.2.1IIS平台8

3.2.1.1删除不必要的虚拟目录8

3.2.1.2删除危险的IIS组件8

3.2.1.3为IIS中的文件分类设置权限9

3.2.1.4删除不必要的应用程序映射9

3.2.2APACHE平台10

3.2.2.1APACHE服务器的安全特性10

3.2.2.2APACHE主要的安全缺陷10

3.2.2.3APACHE的安全配置11

4程序安全12

4.1ASP程序12

4.1.1源代码泄露12

4.1.2SQL注入12

4.2 PHP程序13

4.2.1关闭错误显示13

4.2.2开启安全模式13

4.3ASP.NET和JSP程序14

5数据安全14

5.1常用数据库14

5.1.1ACCESS数据库14

5.1.1.1ACCESS数据库的存储隐患14

5.1.1.2ACCESS数据库的解密隐患15

5.1.1.3防止ACCESS数据库被下载15

5.1.2MSSQL数据库15

5.1.2.1使用加密协议15

5.1.2.2修改所使用的TCP/IP端口16

5.1.3MYSQL数据库16

5.1.3.1帐户安全16

5.1.3.2访问安全16

5.2防盗链和采集16

5.2.1防盗链17

5.4.2防采集17

6网络安全17

6.1客户端安全性18

6.1.1ACTIVEX18

6.1.2JAVASCRIPT18

6.1.3COOKIES18

6.2黑客攻击18

6.2.1获得系统权限19

6.2.2中止WEB服务19

6.3防火墙19

6.3.1包过滤防火墙19

6.3.2代理防火墙19

6.3.3双穴主机防火墙20

总　结21

致谢21

参考文献23

1绪论

1.1课题背景及目的

中国的互联网发展已进入了第二个十年，随着互联网的基础设施的建设，人们观念意识的变革，互联网越来越成为人们生活中不可分割的一部分。

基于互联网的Web应用如火如荼，迅速发展，各类网站数量也呈井喷式增长，随之而来的，是日益突出的安全问题。

不断被发现的漏洞，黑客的恶意攻击，在网络上疯狂爬行的蠕虫，迅速扩散的病毒，盗取虚拟财物的木马，所有这一切都令人惶惶不可终日。

人们一方面享受着Web带来的好处，另一方面却要忍受着不可预料的安全威胁。

本课题就是针对这种尴尬的现状，全面地介绍和分析Web服务和应用中存在的各种漏洞和所面临的各种威胁，探讨Web安全问题的对策。

1.2国内外研究状况

目前和相当一段时间内，国内外关于Web安全的研究主要从安全协议的制定、系统平台的安全、网站程序的安全编程、安全产品的研发、Web服务器的安全控制等方面着手。

安全协议的制定方面，已经提出了大量实用的安全协议，具有代表性的有：

电子商务协议SET，IPSec协议，SSL/TLS协议，简单网络管理协议SNMP，PGP协议，PEM协议，S-HTTP协议，S/MIME协议等。

这些协议的安全性分析特别是电子商务协议，IPSec协议，TLS协议是当前协议研究中的热点。

系统平台的安全方面主要研究安全操作系统、安全数据库等，以及现有常用系统（如WINDOWS,UNIX,LINUX）的安全配置；还有就是针对黑客常用的攻击手段制定安全策略。

网站程序的安全编程方面，主要研究规范化编程以及现有编程语言（ASP,ASP.NET,PHP,CGI,JSP等）的安全配置和发布增加功能与安全性的新版本。

安全产品的研发方面，目前在市场上比较流行，而又能够代表未来发展方向的安全产品大致有以下几类:

防火墙、安全路由器、虚拟专用网VPN、安全服务器、电子签证机构CA和PKI产品、用户认证产品、安全管理中心、入侵检测系统IDS、入侵防御系统IPS等；在上述所有主要的发展方向和产品种类上，都包含了密码技术的应用，并且是非常基础性的应用。

Web服务器的安全控制方面，主要研究时下流行的Apache、IIS的安全缺陷分析与安全配置，如Apache的访问控制机制、安全模块，IIS的安全锁定等。

1.3论文构成及研究内容

本文根据对Web安全概念做出的定义，分系统安全、程序安全、数据安全和通信安全对Web安全问题所涉及的四个主要方面分章节做出相应的论述。

系统安全方面，介绍和分析两大类操作系统类UNIX和Windows,并对Apache和IIS平台的安全设置进行了一定分析。

程序安全方面，主要介绍了ASP和PHP这两种个人常有的编程语言，并对企业级开发语言ASP.Net和JSP做了粗略的介绍。

通信安全方面，通过对客户端脚本ActiveX和JavaScript，以及Cookies的研究，大致地对Web客户端安全做出了分析。

数据安全方面，一是论述了常见数据库的安全，二是介绍了时下最新的数据安全威胁——盗链和采集，并给出了相应的解决办法。

2WEB安全概述

2.1WEB安全的定义

Web作为建立在Internet基础上的应用，Web安全的定义不可避免地与网络安全和信息安全概念相重叠，其内涵和外延可看作网络安全和信息安全的一个子集。

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的因素或者恶意的攻击而遭到破坏、更改、泄露，确保系统能连续、可靠、正常地运行，网络服务不中断。

[1]国家信息安全重点实验室对信息安全给出的定义是：

“信息安全涉及到信息的机密性、完整性、可用性、可控性。

综合起来说，就是要保障电子信息的有效性。

”据此我们给Web安全做出如下定义：

Web安全是指信息在网络传输过程中不丢失、不被篡改和只被授权用户使用，包括系统安全、程序安全、数据安全和通信安全。

本文即根据此定义分章论述。

2.2WEB安全面临的问题

2.2.1WEB服务器的安全

在Web安全中，服务器的安全是最基础也是最困难的，因为服务器的源代码庞杂，如FreeBSD6.0的汇编行数达到1，271，723，OpenBSD则有1，260，707[2]，WindowsVista更是达到惊人的5000万行。

针对Web服务器具体的安全威胁主要体现在：

服务器程序编写不当导致的远程代码执行；应用程序编写不当、过滤不严格造成的代码注入，可能引起信息泄漏、文件越权下载、验证绕过、远程代码执行等；乐观相信用户输入、过滤不严格导致跨站脚本攻击，在欺骗管理员的前提下，通过精心设计的脚本获得服务端Shell；针对服务器系统的拒绝服务攻击。

2.2.2WEB客户端的安全

当用户使用浏览器查看、编辑网络内容时，采用了ActiveX、JavaApplet、Cookie等技术的应用程序会自动下载并在客户机上运行，如果这些程序被恶意使用，可以窃取、改变或删除客户机上的信息。

对于恶意程序的侵害，用户很难实时的判断程序性质，因此，在获得高度交互的Web服务时，如何抵御这些安全威胁绝非简单的客户端设置就可以解决的。

同时，跨站脚本攻击对于客户端的安全威胁同样无法忽视，跨站脚本攻击属于被动式的攻击，因为其被动且不好利用，所以许多人常忽略其危害性。

与之相对的是，利用跨站脚本攻击的蠕虫已经在网络中肆虐过。

2.2.3WEB通信的安全

和其他的Internet应用一样，Web信道同样面临着网络嗅探和以拥塞信道、耗费资源为目的的拒绝服务攻击的威胁。

需要注意的是，很多针对Web应用的攻击并非只针对服务端、客户端或信道，综合利用各方面的安全漏洞进行攻击的案例数不胜数。

2.3WEB安全的对策

2.3.1物理安全策略

物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。

抑制和防止电磁泄漏是物理安全策略的一个主要问题。

目前主要防护措施有两类：

一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。

另一类是对辐射的防护，这类防护措施又可分为以下两种：

一是采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。

2.3.2访问控制策略

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非法访问。

它也是维护网络系统安全、保护网络资源的重要手段。

各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。

访问控制策略主要包括入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制和防火墙控制。

2.3.3信息加密策略

信息加密的目的是保护Web服务的数据、文件、密码和控制信息，保护网上传输的数据。

网络加密常用的方法有链路加密、端点加密和节点加密三种。

链路加密的目的是保护网络节点之间的链路信息安全；端点加密的目的是对源端用户到目的端用户的数据提供保护；节点加密的目的是对源节点到目的节点之间的传输链路提供保护。

用户可根据网络情况酌情选择上述加密方式。

2.3.4安全管理策略

在网络安全中，除了采用上述技术措施之外，加强网络的安全管理，制定有关规章制度，对于确保网络的安全、可靠地运行，将起到十分有效的作用。

网络的安全管理策略包括：

确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施等。

3系统平台安全

作为Web应用的基础，操作系统以及提供Web服务的应用软件的安全直接关系到整个Web服务和应用的安全。

Internet发展到现在，用于实现Web服务的操作系统主要是类UNIX系统（包括AIX,HP-UX,SCO,FreeBSD,NetBSD,OpenBSD,Solaris,Linux发行版等）和windows系统，搭建Web服务的平台则主要使用Apache和IIS。

本章将对他们的安全性和设置进行大致的分析和说明。

 3.1操作系统

3.1.1UNIX操作系统

UNIX于1969年产生于AT&T贝尔实验室，并同时诞生了划时代的编程语言C。

在三十多年的发展过程中，产生了众多分支。

比较著名的有：

SUN公司的SunOS，后来发展为跨平台的工作站操作系统Solaris；同样基于加州大学伯克利分校BSD的NetBSD、FreeBSD和OpenBSD，其中FreeBSD因易于在PC上安装而影响巨大，NetBSD注重于不同的CPU结构和网络服务，OpenBSD注重安全性；还有就是由芬兰赫尔辛基大学LinusTorvalds开创的Linux和众多的发行版，如RedHat,Suse,Novell,Debian,Turbolinux。

随着中国计算机网络的发展，国人也开发出了众多的类UNIX系统，如国防科大的麒麟，中科院的红旗，为中国的信息化建设提供了安全的基础平台。

典型的UNIX安全漏洞有守护进程程序的错误使入侵者可以直接获得root权限，一些应用的远程漏洞，本地漏洞，暴露系统信息等。

对于典型的安全隐患要做到及时发现，立即消除。

还要进行常规检查，经常注意应用程序的官方更新，及时打好补丁。

3.1.2 LINUX安全设置

一般来说，对Linux系统的安全设置包括取消不必要的服务、限制系统的出入、保持最新的系统核心、修补安全漏洞、检查登录密码、设定用户账号的安全等级、增强安全防护工具、采用安全工具以及经常性的安全检查等。

在采用安全工具以及经常性的安全检查方面，在此介绍几个工具。

Nessus安全漏洞扫描器可以远程检查与网络有关的安全漏洞以及丢失的软件补丁和系统上的其它漏洞。

Nessus软件可用来测试新安装的系统，也可以在维护期内检测工作中的服务器。

Nmap工具是另一种网络扫描器，不过应用不广泛。

这个工具在Linux中可缺省安装。

这个工具对于那些不适应配置Linux软件的IT工作人员来说是非常有用的。

非常关注安全的公司将把以太网接口连接到具有防火墙保护的接口。

这些公司还在这些接口连接能够检测网络通信的专用的包检测服务器。

然后用ACID等工具分析这个信息，并且把这个信息同能够通过防火墙的以前的攻击进行比较。

ACID能够创建一个报警的电子邮件，并且通过网络GUI（图形用户界面）显示有关可疑的数据包的详细信息。

3.1.3 WINDOWS系统

Windows作为微软Microsoft软件帝国的城基，因其易学易用的特点而在桌面系统领域占据着统治地位。

同时，随着众多业余编程用户的加入，使得Windows的服务器系统得到了越来越多的应用，在我国，70%的用户使用windows系统作为服务器系统。

但Windows操作系统的大多数版本有一个共性：

默认安装后安全性都非常差。

比较明显的一个例子就是在用户登陆后，每个用户都具有硬盘分区的访问控制权。

另外，系统还开放了一些服务（如Messenger服务）,允许通过迂回的方式绕过用户审核直接进入系统。

如果要用一句简单的话来对比UNIX和Windows的安全性，那么可以说：

UNIX系统默认把所有服务都关闭，用什么开什么；Windows系统默认所有服务都开启，不用什么关什么。

当然这句话是有失偏颇的，只是说明了我们要对Windows进行安全设置，需要关闭一些服务。

以windowsservers2003为例，我们可以进行如下设置来提高windows系统的安全：

用户设置上，Administrators角色最好不要超过两个，为管理员用户设置一个健壮（8位以上包含字母数字符号）的密码，为管理员改名等。

文件系统权限上，C盘只给administrators和system权限，Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。

另外，将net.exe,

cmd.exe,tftp.exe,netstat.exe,regedit.exe,at.exe,attrib.exe,format.exe这些文件都设置只允许administrators访问。

网络通信上，启用WIN2003的自身带的网络防火墙，并进行端口的改变。

Internet连接防火墙可以有效地拦截对Windows2003服务器的非法入侵，防止非法远程主机对服务器的扫描，提高Windows2003服务器的安全性。

同时，也可以有效拦截利用操作系统漏洞进行端口攻击的病毒，如冲击波等蠕虫病毒。

还有就是通过更改一些注册表项来防止SYN洪水攻击、ICMP重定向报文攻击以及关闭默认共享。

3.2WEB服务器平台

世界上很多公司都开发了提供Web服务的平台软件，知名的有MicrosoftIIS、IBMWebSphere、OracleIAS、Apache和Tomcat,本文主要介绍常用的IIS和Apache的相关安全问题。

3.2.1IIS平台

IIS是InternetInformationServer的缩写，它是微软公司主推的Web服务平台，最新的版本是VISTA里面包含的IIS7.0。

IIS的安装，管理和配置都相当简单，这是因为IIS与WindowsNTServer网络操作系统紧密的集成在一起，另外，IIS还使用与WindowsNTServer相同的SAM（SecurityAccountsManager，安全性账号管理器），对于管理员来说，IIS使用诸如PerformanceMonitor和SNMP（SimpleNetworkManagementProtocol，简单网络管理协议）之类的NT已有管理工具。

IIS支持ISAPI，使用ISAPI可以扩展服务器功能，可以实现Win2003下支持PHP,CGI,JSP程序。

下面主要分析以Win2003为基础的IIS6的安全配置。

3.2.1.1删除不必要的虚拟目录

IIS安装完成后在wwwroot下默认生成了一些目录，并默认设置了几个虚拟目录，包括IISHelp、IISAdmin、IISSamples、MSADC等，它们的实际位置有的是在系统安装目录下，有的是在重要的Programfiles下，从安全的角度来看很不安全，而且这些设置实际也没有太大的作用，所以我们可以删除这些不必要的虚拟目录。

3.2.1.2删除危险的IIS组件

默认安装后的有些IIS组件可能会造成安全威胁，应该从系统中去掉，以下组件可以根据自己的需要决定是否删除。

Internet服务管理器:

这是基于Web的IIS服务器管理页面，一般情况下不应通过Web进行管理，建议卸载它。

SMTPService和NNTPService:

如果不打算使用服务器转发邮件和提供新闻组服务，就可以删除这两项，否则，可能因为它们的漏洞带来新的不安全。

样本页面和脚本:

这些样本中有些是专门为显示IIS的强大功能设计的，但同样可被用来从Internet上执行应用程序和浏览服务器，建议删除。

3.2.1.3为IIS中的文件分类设置权限

除了在操作系统里为IIS的文件设置必要的权限外，还要在IIS管理器中为它们设置权限，以期做到双保险。

一般而言，对一个文件夹永远也不应同时设置写和执行权限，以防止攻击者向站点上传并执行恶意代码。

另外目录浏览功能也应禁止，预防攻击者把站点上的文件夹浏览个遍最后找到漏洞。

一个好的设置策略是:

为Web站点上不同类型的文件都建立目录，然后给它们分配适当权限。

例如:

静态文件文件夹:

包括所有静态文件，如HTM或HTML，给予允许读取、拒绝写的权限。

ASP脚本文件夹:

包含站点的所有脚本文件，如cgi、vbs、asp等等，给予允许执行、拒绝写和读取的权限。

EXE等可执行程序:

包含站点上的二进制执行文件，给予允许执行、拒绝写和拒绝读取的权限。

3.2.1.4删除不必要的应用程序映射

IIS中默认存在很多种应用程序映射，如.htw、.ida、.idq、.asp、.cer、.cdx、

.asa、.htr、.idc、.shtm、.shtml、.stm、.printer等，通过这些程序映射，IIS就能知道对于什么样的文件该调用什么样的动态链接库文件来进行解析处理。

但是，在这些程序映射中，除了.asp的这个程序映射，其它的文件在网站上都很少用到。

而且在这些程序映射中，.htr、.idq/ida、.printer等多个程序映射都已经被发现存在缓存溢出问题，入侵者可以利用这些程序映射中存在的缓存溢出获得系统的权限。

即使已经安装了系统最新的补丁程序，仍然没法保证安全。

所以我们需要将这些不需要的程序映射删除。

在“Internet服务管理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“主目录”页面中，点击“配置”按钮，弹出“应用程序配置”对话框，在“应用程序映射”页面，删除无用的程序映射。

如果需要这一类文件时，必须安装最新的系统修补程序以解决程序映射存在的问题，并且选中相应的