第6章_www安全.pptVIP

网络安全与管理 学习目标 Web服务的安全威胁； WWW服务器的安全漏洞； 如何对Web服务器进行安全配置； WWW客户安全性； 如何增强WWW的安全性； SSL协议及使用 6.1 WWW安全概述 6.1.1 WWW服务 6.1.2 Web服务面临的安全威胁 6.1.1 WWW服务 WWW是World Wide Web的英文缩写，译为“万维网”，是Internet的一种最有活力的服务形式，也称为Web服务。 WWW提供的信息形象、丰富，支持多媒体信息服务，是组织机构、个人在网上发布信息的主要形式。 用户使用基于图形界面的浏览器访问WWW服务，易学易用，只要点击鼠标，就能进入引人入胜的网上世界，获取丰富多彩的信息。 6.1.1 WWW服务 WWW基于客户机/服务器模式，其中客户机就是Web浏览器，服务器指的是Web服务器。 6.1.2 Web服务面临的安全威胁 由于HTTP协议允许远程用户对服务器的通信请求，并允许用户在远程执行命令，这会危及Web服务器和客户端的安全 ： 电子欺骗； 篡改； 否认； 信息泄露； 拒绝服务； 特权升级。 6.1.2 Web服务面临的安全威胁 电子欺骗是指以未经授权的方式模拟用户或进程。恶意用户还可能更改Cookie的内容，假装他是其他用户或Cookie来自其他服务器。一般说来，用户可以通过使用严格的身份验证来防止电子欺骗。每当有人请求访问非公共信息时，都要确保他们的身份与所声称的一致。还可以通过对凭据信息采取安全措施来防止电子欺骗。例如，不将用户名(或至少不将密码)保存在Cookie中，因为恶意用户可以轻松地在其中找到或修改它。 6.1.2 Web服务面临的安全威胁 篡改是指在未经授权的情况下更改或删除资源。 恶意用户进入站点并更改文件，使Web页变得面目全非。进行篡改的间接方法是使用脚本。 防止篡改的主要方法是使用Windows安全性锁定文件、目录和其他资源。应用程序还应该以尽可能少的特权运行。 对来自用户(甚至是数据库)的任何信息都进行验证，用户可以防范脚本的使用。每当从不可信的信息源获得信息时，都要确保它不包含任何可执行代码，从而保证它没有危害。 6.1.2 Web服务面临的安全威胁 否认威胁是指隐藏攻击的证据。 在Web应用程序中，使用模拟其他无辜用户的方法隐藏攻击者。 用户可以使用严格的身份验证来防止否认。另外，使用Windows的日志记录功能来保存服务器上任何活动的审计追踪。 6.1.2 Web服务面临的安全威胁 信息泄露仅指偷窃或泄露应该保密的信息。一个典型的示例是偷窃密码，但它可以涉及对服务器上的任何文件或资源的访问。 防止信息泄露的最佳方法是没有要泄露的信息。例如，如果不存储密码，恶意用户就无法窃取。如果确实要存储秘密，请使用Windows安全性以确保其安全。应该使用身份验证来确保只有经过授权的用户才能够访问受限制的信息，还可以对信息进行加密来防止信息泄露。 6.1.2 Web服务面临的安全威胁 拒绝服务攻击是指故意导致应用程序的可用性降低。典型的示例是：让Web应用程序负载过度，使其无法为普通用户服务。 IIS允许限制服务请求的数量。用户还可以拒绝已知的恶意用户或IP地址的访问。 防止出现故障的问题实际上是运行可靠代码的问题，应该尽可能彻底地测试应用程序并从错误状态完全恢复。 6.1.2 Web服务面临的安全威胁 特权升级是指使用恶意手段获取比正常分配的权限更多的权限。例如，在一个得逞的特权升级攻击中，恶意用户设法获得Web服务器的管理特权，使他能够随意地进行破坏。 若要防止特权升级，尽可能在最少特权的上下文中运行应用程序。例如，建议用户不要以SYSTEM(管理)用户身份运行ASP．NET应用程序。 6.2 WWW的安全问题 6.2.1 WWW服务器的安全漏洞 IIS服务器的安全问题 ISAPI 缓冲溢出漏洞。攻击者可得到主机的本地访问权限，如果使用随机数据，可使IIS服务崩溃或主机自动重启，如果精心构造攻击数据，可使攻击者得到系统管理员的权限。红色代码(Code Red)病毒就成功地利用了IIS组件Index Server的ISAPI缓冲溢出漏洞 行了广泛传播和攻击。 6.2.1 WWW服务器的安全漏洞 HTTP非标准数据问题。攻击者发送大量的特殊畸形的HTTP请求头数据包，可导致服务器消耗系统的所有内存，只有服务终止或主机重启，IIS才能恢复正常。 IIS验证漏洞，这可导致泄露系统信息及账号被远程暴力破解。如果服务器支持基本认证，攻击者通过将Host头域置空，Web服务器将会返回包含其内部地址的信息；如果服务器支持NTLM认证，攻击者可获取服务器的NetBIOS名称以及所 属域的信息。 6.2.1 WWW服务