网络安全与管理——第8讲Web安全 .ppt

第6章 Web安全 (1) 本章学习目标 Web服务的安全威胁； Web服务器的安全漏洞； 如何对Web服务器进行安全配置； Web客户安全性； SSL原理及应用； SET原理。 6.1 Web安全概述 6.1.1 Web服务 6.1.2 Web服务面临的安全威胁 6.1.1 Web服务 WWW是World Wide Web的英文缩写，译为“万维网”，是Internet的一种最有活力的服务形式，也称为Web服务。 WWW提供的信息形象、丰富，支持多媒体信息服务，是组织机构、个人在网上发布信息的主要形式。 用户使用基于图形界面的浏览器访问WWW服务，易学易用，只要点击鼠标，就能进入引人入胜的网上世界，获取丰富多彩的信息。 广泛使用的HTTP服务器：W3C、NCSA、Apache、IIS；客户端浏览器：Microsoft Internet Explorer（IE）、Mozilla Firefox、 Netscape Navigator。 6.1.1 Web服务 WWW基于客户机/服务器模式，其中客户机就是Web浏览器，服务器指的是Web服务器。 使用HTTP协议，是Web应用的核心协议，属于应用层，默认端口80。 6.1.2 Web服务面临的安全威胁 由于HTTP协议允许远程用户对服务器的通信请求，并且允许用户在远程执行命令，这会危及Web服务器和客户端的安全 ： 电子欺骗 以未经授权的方式模拟用户或进程，假装其他用户 一般可以通过严格的身份验证来防止 篡改 未经授权的情况下更改和删除资源 防止的主要方法是使用Windows安全性锁定文件、目录、和其他Windows资源 6.1.2 Web服务面临的安全威胁 否认 否认威胁是指隐藏攻击证据 防止方法：严格的身份验证，使用Windows的日志记录功能保存服务器上任何活动的审计追踪。 信息泄露 信息泄露指偷窃或泄露应该保密的信息 防止方法：身份验证防止未授权访问，加密。 6.1.2 Web服务面临的安全威胁 拒绝服务 拒绝服务指故意导致应用程序的可用性降低 防止方法：限制连接数，拒绝已知的恶意用户或IP，运行可靠的代码 特权升级 特权升级指使用恶意手段获取比正常分配的权限更多的权限 防止方法：尽可能在最少特权的上下文运行应用程序 6.2 Web的安全问题 6.2.1 Web服务器的安全漏洞 6.2.2 通用网关接口（CGI）的安全性 6.2.3 ASP与Access的安全性 6.2.4 Java与JavaScript的安全性 6.2.5 Cookies的安全性 6.2.1 Web服务器的安全漏洞 IIS服务器的安全问题 ISAPI（Intranet Server API）缓冲溢出漏洞 使用随机数据可使IIS服务器崩溃或主机重启 精心构造的数据可得到系统管理员权限 红色代码（Code Red）病毒 HTTP非标准数据问题 利用大量的特殊畸形HTTP请求头数据包，消耗服务器内存 拒绝服务攻击 IIS验证漏洞 攻击者将host头域置空，web服务器将返回内部地址 Apache服务器的安全问题 影响mod_cookie模块编译的服务器，攻击者将非常长的cookie传给服务器，导致系统堆栈溢出 影响自动目录列表 6.2.2 通用网关接口的安全性 应用背景： HTML语言只适用于编写静态的WWW服务，而通用网关接口（CGI，Common Gateway Interface）提供了动态服务，可以在用户和Web服务器之间交互式通信。 工作过程： 客户方CGI程序捕获用户输入，并把它传到服务器方应用程序，服务器方的CGI把这些信息传给应用程序，由它返回给客户系统更新Web页面和其他信息。 CGI程序的编写应注意的问题 防止修改PATH变量 使用完整路径调用命令 不要把当前目录放入路径里 6.2.2 通用网关接口的安全性 CGI脚本的激活方式 避开验证，利用直接请求URL激活脚本 http://wwwserver/cgi-bin/phf 不要依赖于隐藏变量的值 通过“查看”“源文件”可以查看 用户可以改变隐藏变量的值 CGI的权限问题（最低权限） CGI Script的安全性 会有意或无意地泄露主机系统信息，被黑客利用 处理远程用户输入的Script，可能被远程用户攻击 6.2.3 ASP与Access的安全性 ASP（Active Server Pages)作为一种典型的服务器端网页设计技术，被广泛地应用在网上银行、电子商务、搜索引擎等各种互联网应用中。 ASP＋Access解决方案的主要安全隐患来自Access数据库的安全性；其次在于ASP网页设计过程中的安全