網(wǎng)站安全體系架構(gòu)概述(已修改)
2025-02-05 12:59 本頁面
【正文】 網(wǎng)站安全體系架構(gòu)孫建偉北京理工大學(xué)軟件學(xué)院提綱? 網(wǎng)站工作原理179。 網(wǎng)站架構(gòu)179。 網(wǎng)站與瀏覽器的交互? Web應(yīng)用攻擊179。 網(wǎng)頁篡改179。 注入式攻擊179。 跨站攻擊? Web應(yīng)用安全體系架構(gòu)分析179。 輸入驗證179。 網(wǎng)站備份恢復(fù)架構(gòu)179。 立體防護體系Web應(yīng)用程序的邏輯架構(gòu)三層架構(gòu) (3tier application) 通常意義上的三層架構(gòu)就是將整個業(yè)務(wù)應(yīng)用劃分為：表現(xiàn)層（ UI）、業(yè)務(wù)邏輯層（ BLL）、數(shù)據(jù)訪問層（ DAL）。區(qū)分層次的目的即為了 “ 高內(nèi)聚，低耦合 ” 的思想?！ 。薄⒈憩F(xiàn)層（ UI）：通俗講就是展現(xiàn)給用戶的界面，即用戶在使用一個系統(tǒng)的時候他的所見所得?！ 。?、業(yè)務(wù)邏輯層（ BLL）：針對具體問題的操作，也可以說是對數(shù)據(jù)層的操作，對數(shù)據(jù)業(yè)務(wù)邏輯處理?！ 。?、數(shù)據(jù)訪問層（ DAL）：該層所做事務(wù)直接操作數(shù)據(jù)庫，針對數(shù)據(jù)的增、刪、改、查。網(wǎng)站的層次結(jié)構(gòu)? 操作系統(tǒng)：管理計算機平臺資源? Web服務(wù)器：解析 HTTP請求，處理網(wǎng)頁文件，執(zhí)行動態(tài)腳本? 網(wǎng)站文件系統(tǒng)179。 靜態(tài)網(wǎng)頁179。 動態(tài)網(wǎng)頁? 后臺數(shù)據(jù)庫4 HTTP工作原理因特網(wǎng)HTTP 使用此 TCP 連接瀏覽器 程序服務(wù)器 程序HTTP客戶建立 TCP 連接釋放 TCP 連接?HTTP 響應(yīng)報文② 響應(yīng)文檔 ?HTTP 請求報文① 請求文檔Web訪問工作原理Web訪問工作原理 瀏覽器結(jié)構(gòu)與遠(yuǎn)地服務(wù)器通信輸出至顯示器從鼠標(biāo)和鍵盤輸入網(wǎng) 絡(luò) 接 口可選客戶程序HTML解釋程序可選解釋程序控 制 程 序 驅(qū)動程序……HTTP 客戶程序緩 存9服務(wù)器端技術(shù)實現(xiàn)原理Web瀏覽器 Web服務(wù)器HTTP請求HTTP響應(yīng)本地磁盤動態(tài)網(wǎng)頁中的服務(wù)器端程序送到客戶端10網(wǎng)站成為網(wǎng)絡(luò)攻擊的焦點? 操作系統(tǒng)的復(fù)雜性179。 已公布超過 1萬多個系統(tǒng)漏洞? Web服務(wù)器的漏洞? 網(wǎng)站應(yīng)用漏洞? 網(wǎng)站配置的問題179。 網(wǎng)站系統(tǒng)設(shè)計缺乏安全性架構(gòu)的支持179。 網(wǎng)頁的安全性設(shè)計不夠179。 注入式攻擊179。 多個應(yīng)用系統(tǒng)不同的開發(fā)者，組織的缺陷 10Web攻擊事件 篡改網(wǎng)頁 11Web攻擊事件 篡改數(shù)據(jù)12Web攻擊事件 跨站攻擊13Web攻擊事件 注入式攻擊14Web攻擊事件 非法上傳15常見 Web攻擊類型威脅 手段 后果注入式攻擊 通過構(gòu)造 SQL語句對數(shù)據(jù)庫進(jìn)行非法查詢黑客可以訪問后端數(shù)據(jù)庫，偷竊和修改數(shù)據(jù)跨站腳本攻擊 通過受害網(wǎng)站在客戶端顯不正當(dāng)?shù)膬?nèi)容和執(zhí)行非法命令黑客可以對受害者客戶端進(jìn)行控制，盜竊用戶信息上傳假冒文件 繞過管理員的限制上傳任意類型的文件黑客可以篡改網(wǎng)頁、圖片和下載文件等不安全本地存儲 偷竊 cookie和 session token信息 黑客獲取用戶關(guān)鍵資料，冒充用戶身份非法執(zhí)行腳本 執(zhí)行系統(tǒng)默認(rèn)的腳本或自行上傳的WebShell腳本等黑客完全控制服務(wù)器非
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1