第8章 Web系统和无线网安全.ppt

第8章 Web系统和无线网安全 第8章 Web系统和无线网安全 黑客技术始终都在发展，黑客不断开发新的攻击方法恶意访问系统并攻击计算机网络。因此，有必要了解当前网络环境下Web系统的安全应对策略、防范措施，并在与恶意攻击者的“实战”中逐步了解对手的意图，认清当前计算机网络和Web系统的脆弱性。 8.1 Web系统的安全 Web服务器能够提供多种不同的方式将请求转发给应用服务器，并将修改过的或新的网页发回给最终用户，这使得非法入侵网络变得更加容易。 此外，许多Web应用程序容易受到通过服务器、应用程序和内部已开发的代码进行的攻击。 Web应用攻击之所以与其他攻击不同，它们很难被发现，而且可能来自任何在线用户，甚至是经过验证的用户。 8.1.1 Web系统的安全问题 Web信息系统的各种安全问题潜伏在Web系统中，Web系统时时刻刻面临着遭受各种攻击的安全威胁。入侵者的目的是十分明确的： （1）让网站瘫痪：即让服务中断。使用DDoS攻击可以让网站瘫痪，但对Web服务器内部没有损害，而网络入侵可以删除文件、停止进程，让Web服务器彻底无法恢复。一般来说，这种做法有很强的目的性，如敛财、要挟或炫耀技术。 （2）篡改网页：修改网站的页面显示是相对比较容易的，也是公众容易知道的攻击效果。 （3）挂木马：这种入侵对网站不产生直接破坏，而是对访问网站的用户进行攻击，轻则导致网页浏览者的本地计算机CPU占用率极高而不得不重新启动计算机，重则资料被盗，程序被破坏。 （4）篡改数据：这是最危险的攻击，篡改网站数据库或者是动态页面的控制程序，表面上没有什么危害，实际上危害是难以估量的。 8.1.1 Web系统的安全问题 现在大多数的网络管理者已经意识到Web信息系统的安全威胁，采取了众多安全措施。例如，应用了入侵检测系统、网络防火墙、VPN、网络防病毒系统等。但还是不能保证真正的安全，原因就在于虽然应用了诸多安全设备，但是网络的Web服务还是要对外开放，也就是说，用于HTTP服务的一些端口是处于开放状态的。只要Web服务开放，那么Web系统就无法区分服务通信的信息中，哪些是正常的访问，哪些是带有攻击性质的访问，所以就会出现诸多Web应用层面的安全问题。 8.1.2 Web系统的安全威胁 如果不考虑网络内部人员的攻击，只考虑从接入网（或互联网）来的攻击，入侵者入侵的通道有： （1）密码破解。 （2）Web应用程序漏洞。 （3）服务器系统漏洞。 8.1.3 口令攻击与防范 1．口令攻击的主要方法 口令攻击是黑客实施网络攻击的最基本、最有效的方法之一。常见的口令攻击有以下几种： 1）社会工程学攻击 2）猜测攻击 3）字典攻击 4）强行攻击 5）通过网络监听获得用户口令 6）欺骗技术 8.1.3 口令攻击与防范 2．口令攻击的防范 1）设置好的口令 精心设置口令是防范口令攻击的最基本、最有效的方法。最好采用字母、数字、标点符号和特殊字符的组合，同时字母有大小写；长度最好达到8位以上，而且容易记忆。设置安全的密码需要注意以下几点： 不要用自己或亲友的生日、手机号码等易于被他人获知的信息作为密码。 不要选择了解你的人可以轻易猜到的密码（例如，信用卡号码、生日或者小名）。 不要选择在字典中可以找到的单词（防字典攻击）。 不要选择正在流行的单词。 不要选择和前一个密码相似的单词。 选择字母和数字的混合密码。 8.1.3 口令攻击与防范 2）制订安全策略，注意保护口令安全 3）新技术的应用 （1）单点登录（SSO） （2）生物认证是使用指纹、面部扫描、虹膜或者声音识别用户的认证方法 （3）PKI系统可以维护数字证书，根据需要创建和删除证书。 （4）智能卡。 8.1.4 SQL注入攻击与防范 SQL注入攻击（SQL injection）是指攻击者在客户端精心编写一些语法结构合法的SQL语句，并在这些SQL语句之中加载攻击代码，利用网站的漏洞，成功绕过或骗取网站的用户验证，直接进入后台的网站数据库系统执行未经授权的数据读写。 8.1.4 SQL注入攻击与防范 1. SQL注入的方法 1）SQL注入攻击原理分析 2）SQL注入攻击的步骤 （1）发现SQL注入位置 （2）判断后台数据库类型 （3）发现WEB虚拟目录和表名 8.1.4 SQL注入攻击与防范 2．SQL注入攻击的防范 如何防范SQL注入攻击呢。需要遵循几条非常基本的规则： 1）强迫使用参数化语句 2)建议使用SQL Server数据库自带的安全参数 3）使用专业的漏洞扫描工具 4）加强对用户输入的验证 5）不把敏感性数据在数据库里明文存放6）锁定数据库的安全 6）普通用户与系统管理员用户的权限要有严格的区分 8.1.5