浅谈Web应用程序的安全威胁与防护.pdfVIP

浅谈Web应用程序的 安全威胁与防护 王志刚曲善广吴东明 信息工程大学河南450004 摘要：Web应用程序具有部署容易、交互性好、跨平台操作等特点，正得到越来越多的普遍应用。但与此同时，Web 应用程序也受到越来越多的安全威胁。本文从底层操作系统、中间层通用组件及上层Web应用程序三方面进行了分析，并 提出了基本的防护方法。 关键词：Web应用；安全；威胁，防护 0 引言 威胁中最为人们熟悉的几种形式。 近年来，各种Web网站攻击事件是频频发生，SQL注 (1)计算机病毒。本质上是一个程序或一段可执行代码， 入，网页被篡改、信息失窃、甚至被利用成传播木马的载体 并具有自我复制能力及隐蔽性、传染性和潜伏性等特征，如 CIH病毒，Ska蠕虫等，其通常处于潜伏状态，但在特定的 等等。Web安全威胁形势日益严峻，Web安全防护该何去何 从?如何保证Web应用程序自身的安全性，更好的为用户提逻辑条件满足的情况下会激活和执行，对系统功能造成严重 供快捷稳定的服务，是我们必须应对的挑战。 破坏。 1 Web安全威胁分析 (2)后门(或称天窗)也是构成操作系统威胁的重要形式 Web网站的体系架构一般分为三层，底层是操作系统， 之一。其本质上通常是为方便操作系统测试而在操作系统内 中间层是Web服务器、数据库服务等通用组件，上层是内容部预留的特别命令入口，或者是专门在操作系统内部设置的 和业务相关的Web应用程序，这三层架构中任何一层出现了 可供渗透的缺陷或漏洞，一般不容易发现。但一经发现和非 安全问题都会导致整个Web网站受到威胁，如图l所示。 法利用，则会穿透整个系统安全机制并造成严重的后果。 (3)黑客攻击。则表现为具备某些计算机专业知识和技 tg l译 晦用开IF打A誓滴} 嬖 卜I 黼～卜 } 攻 技 术的人员通过分析挖掘系统漏洞，利用网络对特定系统进行 占 脚 获 站 宣 得 破坏，使功能瘫痪、信息丢失、系统被入侵等，常见的攻击 l嚣糕；渊淼I 全 网 站 洞 方式如拒绝服务攻击，即通过消耗网络带宽或频发连接请求 限 旧：≯～w¨曲舯‘卜 等r三 阻断系统对合法用户的正常服务或利用操作系统漏洞，获得 图1 Web网站安全威胁架构示意图 目标用户系统的控制权，进行恶意操作，修改网站内容，窃 从上图我们可以看出，这三层架构中任何一层都不可避 取信息，甚至系统崩溃。 免地存在漏洞，具有一定的安全隐患，具体如下。 1．2通用组件漏洞 1．1操作系统安全 计算机病毒、后门和黑客攻击是操作系统所受到的安全 程序的安全。 操作系统、应用软件中广泛存在。这种攻击方式一般是通过 1．2．1 Web服务器组件漏洞 构造超长请求字符串来试探是否存在漏洞，几乎可以应用于 所有Web应用程序，在适当的条件下，缓冲区溢出攻击往往 IIS或Apache等这些服务组件，作为Web应用程序的载 体，一旦出现安全问题，那么运行在其上的Web应