網(wǎng)絡(luò)安全第7章web的安全-免費(fèi)閱讀
【正文】 編譯的應(yīng)用程序?qū)⒎旁? Temporary files 目錄中 。這個(gè)模塊可用于有選擇地允許或拒絕特定用戶或角色對(duì)應(yīng)用程序的任意部分 （ 通常為目錄 ） 的訪問權(quán)限 。 Passport 登錄服務(wù)器使用該密鑰對(duì)站點(diǎn)間傳遞的查詢字符串進(jìn)行加密和解密。 ? 通過 Forms 身份驗(yàn)證 ， 可以使用所創(chuàng)建的登錄窗體驗(yàn)證用戶的用戶名和密碼 。應(yīng)用程序不使用 IIS 身份驗(yàn)證，但 IIS 身份驗(yàn)證設(shè)置可以影響 Forms 身份驗(yàn)證。這一功能為開發(fā)帶來了方便 ， 但也使安全防范問題變得復(fù)雜 。 （ 7） 策略錯(cuò)誤：如果編制 CGI程序的程序員采用錯(cuò)誤的策略 ， 也會(huì)導(dǎo)致嚴(yán)重的安全問題 。 （ 3） 利用某些服務(wù)漏洞執(zhí)行命令 。 用戶可以使用不同腳本語(yǔ)言來編寫適合的 CGI程序 。 3． Cookie的安全性 4． Cookie的安全設(shè)置 （ 1） ? 單擊瀏覽器 “ 工具 ” 菜單 ， 選擇 “ inter選項(xiàng) ” 進(jìn)入 。 1．什么是 cookie 1．什么是 cookie ? 如何刪除 cookie文件： ? 在 Inter Explorer 中，從“工具”菜單中選擇“ Inter 選項(xiàng)”； ? 在“常規(guī)”選項(xiàng)卡上，單擊 “瀏覽歷史記錄”下面的“刪除”。 當(dāng)用戶正在瀏覽站點(diǎn)時(shí) ， 它存儲(chǔ)于客戶機(jī)的 RAM中；退出瀏覽器后 ， 它存儲(chǔ)于客戶機(jī)的硬盤上 。 IE的 “ 自定義級(jí)別 ” 為用戶提供自主選擇與實(shí)際需求相匹配安全策略的機(jī)會(huì) 。 6． 用戶信息泄露類漏洞： IE瀏覽器中的安全漏洞 ， 黑客利用這個(gè)漏洞能夠使用 Google桌面軟件遠(yuǎn)程訪問用戶的口令和信用卡賬號(hào)等個(gè)人信息 。為了保證系統(tǒng)的安全性，首先應(yīng)確保 CGI的作者是可信的，此外： ? 對(duì) CGI而言，最好將其限制在一個(gè)特定的目錄下，如 cgibin之下，便于管理； ? 應(yīng)該保證 CGI目錄下的文件是不可寫的，避免一些欺騙性的程序駐留或混跡其中； ? 如果能夠給用戶提供一個(gè)安全性良好的 CGI程序的模塊作為參考，也許會(huì)減少許多不必要的麻煩和安全隱患； ? 除去 CGI目錄下的所有非業(yè)務(wù)應(yīng)用的腳本，以防異常的信息泄漏。 ? 通過修改 ，以 Nobody用戶運(yùn)行 Apache 達(dá)到相對(duì)安全的目的。 mod_auth_db和 mod_auth_dbm模塊則分別將用戶信息（如名稱、組屬和口令等）存于BerkeleyDB及 DBM型的小型數(shù)據(jù)庫(kù)中，便于管理及提高應(yīng)用效率。 2． Linux下 Web服務(wù)器的安全配置 （ 1） Apache 服務(wù)器的安全特性 1） 采用自主訪問控制和強(qiáng)制性訪問控制的安全策略 ? 從 Apache 或 Web的角度來講 ， 選擇性訪問控制 DAC（ Discretionary Access Control） 仍是基于用戶名和密碼的 ， 強(qiáng)制性訪問控制 MAC（ Mandatory Access Control） 則是依據(jù)發(fā)出請(qǐng)求的客戶端的 IP地址或所在的域號(hào)來進(jìn)行界定的 。因?yàn)閺?qiáng)大的功能和靈活的設(shè)置及平臺(tái)移植性， Apache Server取得了廣泛的信賴。 Server下 Web服務(wù)器的安全配置 Server下 Web服務(wù)器的安全配置 Server下 Web服務(wù)器的安全配置 （ 7） 安全通信機(jī)制 IIS身份認(rèn)證方式除了匿名用戶 、 基本驗(yàn)證 、 集成 Windows驗(yàn)證以外 ， 還有一種安全性更高的認(rèn)證方式 —— 數(shù)字證書 。 在 “ Inter服務(wù)管理器 ” 中 ， 打開 “ Web站點(diǎn) ” 的屬性對(duì)話框 ， 如下圖所示 。 Web服務(wù)器的安全配置 Server下 Web服務(wù)器的安全配置 （ 2）用戶控制 對(duì)于普通用戶來講其安全性可以通過相應(yīng)的“安全策略”來加強(qiáng)對(duì)他們的管理，約束其屬性和行為。 ? 幾乎所有的關(guān)系數(shù)據(jù)庫(kù)系統(tǒng)和相應(yīng)的 SQL語(yǔ)言都面臨 SQL注入的潛在威脅。 ? 執(zhí)行任意命令即執(zhí)行任意操作系統(tǒng)命令，主要包括兩種情況： ? 一是通過遍歷目錄，如前面提到的二次解碼和 UNICODE解碼漏洞，來執(zhí)行系統(tǒng)命令。 目前 ， Web站點(diǎn)面臨著各種各樣病毒的威脅 ， 使得本不平靜的網(wǎng)絡(luò)變得更加動(dòng)蕩不安 。 （ 3）用戶是通過瀏覽器和 Web站點(diǎn)進(jìn)行交互的，由于瀏覽器本身的安全漏洞，使得非法用戶可以通過瀏覽器攻擊 Web站點(diǎn)，這也是需要警惕的一個(gè)重要方面。 （ 6） Inter從技術(shù)上來講是開放的，是基于可信、友好的前提設(shè)計(jì)的，是為君子設(shè)計(jì)而不防小人的。第 7章 Web的安全 Web安全概述 Inter的脆弱性 Web是建立在 Inter上的典型服務(wù)，所以，Inter的安全是 web安全的前提和基礎(chǔ)。 Web的安全問題 1．影響 Web安全的因素 （ 1） 由于 Web服務(wù)器存在的安全漏洞和復(fù)雜性 ，使得依賴這些服務(wù)器的系統(tǒng)經(jīng)常面臨一些無法預(yù)測(cè)的風(fēng)險(xiǎn) 。 （ 1） 未經(jīng)授權(quán)的存取動(dòng)作 。 2． Web中的安全問題 Web服務(wù)器存在的漏洞 Web服務(wù)器存在的主要漏洞包括物理路徑泄露 ，目錄遍歷 ， 執(zhí)行任意命令 ， 緩沖區(qū)溢出 ， 拒絕服務(wù) ， SQL注入 ， 條件競(jìng)爭(zhēng)和 CGI漏洞 。 ? 另外一種就是 Web服務(wù)器把用戶提交的請(qǐng)求作為 SSI指令解析，因此導(dǎo)致執(zhí)行任意命令。 ? 拒絕服務(wù)產(chǎn)生的原因多種多樣，主要包括超長(zhǎng) URL，特殊目錄，超長(zhǎng) HTTP Header域，畸形 HTTP Header域或者是 DOS設(shè)備文件等。值得注意的是在 IIS安裝完以后會(huì)自動(dòng)生成一個(gè)匿名賬號(hào)IUSE_Computer_name，而匿名訪問 Web服務(wù)器應(yīng)該被禁止，否則會(huì)帶來一定的安全隱患。 Web服務(wù)除了提供 NTFS權(quán)限外 ， 還提供讀取權(quán)限和執(zhí)行權(quán)限 。 在 “ 目錄安全性 ” 對(duì)話框中單擊 “ 服務(wù)器證書 ”按鈕 ， 按向?qū)崾揪涂梢院苋菀椎厣暾?qǐng)到數(shù)字證書 。 ? Apache Server的主要功能有： ? 支持最新的 （ RFC2616）。 ? 對(duì)于 DAC方式 ， 如輸入錯(cuò)誤 ， 那么用戶還有機(jī)會(huì)更正 ，從新輸入正確的的密碼；如果用戶通過不了 MAC關(guān)卡 ，那么用戶將被禁止做進(jìn)一步的操作 ， 除非服務(wù)器作出安全策略調(diào)整 ， 否則用戶的任何努力都將無濟(jì)于事 。 2． Linux下 Web服務(wù)器的安全配置 ? mod_auth_digest模塊則采用 MD5數(shù)字簽名的方式來進(jìn)行用戶的認(rèn)證，但它相應(yīng)的需要客戶端的支持。 2． Linux下 Web服務(wù)器的安全配置 2) Server Root目錄的權(quán)限 ? 為了確保所有的配置是適當(dāng)?shù)暮桶踩?，需要?yán)格控制 Apache 主目錄的訪問權(quán)限，使非超級(jí)用戶不能修改該目錄中的內(nèi)容。 Web客戶端的安全 瀏覽器本身的漏洞
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1