网站开发与网站安全和维护.ppt

TechEd 2002 网站开发与网站安全和维护 新疆师范大学信息管理中心 2007年6月 目录 一、新疆师范大学网站建设规范 二、网站运行及网站安全技术 三、简单的入侵分析 四、平时该做些什么？ 五、如何应对网络安全事件 六、几个注意的问题 一、新疆师范大学网站建设规范（要点） 信息管理中心负责学校网站的整体规划、安全规范、公共信息资源的建设、维护，为校内各单位提供二级网站的虚拟主机空间服务，负责二级网站的申请、审核、停用及日常管理工作。二级网站的单位用户必须是经学校批准的独立建制的二级单位或相对独立的挂靠单位，必须依据本规范建设和管理二级网站，并接受学校信息管理中心的指导和监督。 二、网站运行过程及服务器安全 用户对网站的访问过程。客户端发出数据访问请求，首先交给Web 服务器(如 IIS ，Apache)，再通过Web 服务器到达数据库服务器（目前我们都是集成在网 站里面，因主要采用的access数据库）,而数据的返回过程与上面正好相反。信 息的流通是在浏览器—Web 服务器—数据库服务器之间进行的。因此,寻求一种 构建安全Web 网站解决方案,可从这三方面进行还有一个是网站代码上的设计。 网站安全技术 操作系统平台的安全机制 打好操作系统的补丁，操作系统的升级 系统文件格式，windows选择NTFS格式 帐号的权限，密码的使用周期。 删除不用的协议和禁用不用的服务，提供的服务越少,被利用的漏洞和攻击的机会就越少。 组策略的设置，包括升级服务器的设置、密码的有效期、日志审核机制等等 卸载不安全的组件（参看信息管理中心主页相关文件） 安装杀毒软件、防火墙，阻止一些非法操作，系统文件被篡改。 其他软件的安全设置，例如ftp软件 IIS的其它安全设置 不使用默认的Web站点，如果使用也要将IIS目录与系统磁盘分开。 删除IIS默认创建的Inetpub目录（在安装系统的盘上）。 删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。 删除不必要的IIS扩展名映射。 右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml、.shtm、 .stm。 更改IIS日志的路径 右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性 　Web 数据库的安全性 数据库安全的主要任务是防止非法用户访问或合法用户越权访问数据库中的数据。。 根据Web 数据库的特点,可以采用用户身份认证、授权控制、数据加密、使用日志监视数据库、数据存储安全、审计和备份与数据恢复等安全管理技术。 针对学校的网站中，数据库都是没有加密的，而黑客找到我们的数据库文件路径，是很容易下载下来的，以后的网站设计过程中，我们推荐大家使用SQLserver、Mysql数据库，这样的安全性能要高，具有以上安全控制。 或者对数据库进行加密，改名，存放到相对复杂的路径里。 　授权控制 授权控制经身份认证的合法用户根据自己的权限来访问系统,在该安全体系中,可利用Windows NT 的NTFS和DBMS 的用户角色在不同层次分别对用户权限进行限制。 比如对USER用户组，授予读取、执行或写入权限，删除EVERYONE组。 网站源代码的安全机制 对网站用户输入帐号、密码的安全过滤 上传文件对组件调用，上传文件的限制尽量在*.jpg、*.doc、*.xls,也可以采用ftp上传后，写文件路径的方式，禁止调用系统的*.exe文件 脚本命令执行漏洞 Sql注入漏洞，对sql执行语句的过滤。 Session文件漏洞 Sql注入 SQL 注入攻击原理。盲目信任用户输入是保障Web 应用安全的第一敌人。用户输入的主要来源是HTML 表单中提交的参数，如果不能严格地验证这些参数的合法性，就有可能危及服务器的安全。 三、简单的入侵分析 首先还原一下可能的入侵思路： 1、技术层面的初步分析 以动力文章系统3.x为例，可能的入侵途径主要有以下两种： A 注入：相关内容前面已经有专题讲座，这里不再重复了，可以参考 /3/SQL.ppt 暴库：即数据库暴露，进而被下载。简单的检测方法就是访问http://???. /inc/conn.asp,，如果出错信息中可以显示出数据库的路径，就存在这个漏洞 解决方法，把数据库扩展名改为asa。比如在上面这个例子中，数据库应改为adsfkldfogowerjnokfdslwejhdfsjhk.asa B 上传：这是最近几次攻击被普遍利用的漏洞，已经流行了将近两年的攻击方式。相关的安全公告请访问 /Announce/ShowArticle.asp?ArticleID=39 对于动力系统，最好删除Upf