網(wǎng)絡(luò)安全第7章web的安全-文庫吧在線文庫
【正文】 eb目錄中的程序和腳本 。 ? Apache音譯為阿帕奇 ， 是北美印第安人的一個部落 ， 叫阿帕奇族 ， 在美國的西南部 。 ? 極強的可配置和可擴展性，充分利用第三方?？斓墓δ?。 2． Linux下 Web服務(wù)器的安全配置 2） Apache 的安全模塊 ? Apache 的一個優(yōu)勢便是其靈活的模塊結(jié)構(gòu)，其設(shè)計思想也是圍繞模塊（ Modules）概念而展開的。 ? mod_auth_anon模塊的功能和 mod_auth的功能類似，只是它允許匿名登錄，將用戶輸入的 Email地址作為口令。 ? Apache 的主目錄對應(yīng)于 Apache Server配置文件 Server Root控制項。 2． 木馬類漏洞：有的漏洞還可能被木馬利用 ， 如利用 IE Object Data漏洞可以實現(xiàn)網(wǎng)頁木馬 。在有目錄和其它支持的網(wǎng)絡(luò)中 ， COM變成了分布式 COM（ DCOM） 。 ActiveX控件實際的默認級別為 “ 中 ” ， 即軟件安裝之前 ， 用戶可以根據(jù)自己對軟件發(fā)行商和軟件本身的信任程度 ，選擇決定是否繼續(xù)安裝和運行此軟件 。 瀏覽器通過這些特定的信息 ， 為以后訪問 Web服務(wù)器 ， 為進一步交互提供方便 。 （ 1） 定制個性化空間 用戶訪問一個站點 ， 可能由于費用 、 帶寬限制等原因 ， 并不希望瀏覽網(wǎng)頁所有的內(nèi)容 。 ? 在 “ 安全設(shè)置 ” 對話框中的 “ 允許使用存儲在您的計算機上的 Cookie” 項目中 ， 選擇 “ 禁用 ”選項 。 沒有 CGI就不可能實現(xiàn)動態(tài)的 Web頁面 。 （ 5） 非通用 CGI程序的編程漏洞 2． CGI安全問題 （ 1） 配置錯誤：主要是指 CGI程序和數(shù)據(jù)文件的權(quán)限設(shè)置不當(dāng) ， 這可能導(dǎo)致 CGI源代碼或敏感信息泄露 。 （ 8） 習(xí)慣問題：程序員的不良習(xí)慣 ， 也可能導(dǎo)致安全問題 。 這個漏洞可能被用來繞過密碼驗證 。否則，如果用戶未通過 IIS 身份驗證，他們甚至無法訪問應(yīng)用程序，以便向 Forms 身份驗證提供用戶名和密碼。 ? 如果應(yīng)用程序?qū)φ埱筮M行了驗證 ， 系統(tǒng)會頒發(fā)一個票證 ， 該票證包含用于重建后續(xù)請求的標(biāo)識的密鑰 。在 中 ， 有兩種方式來授予對給定資源的訪問權(quán)限： 1） 文件授權(quán) 。 模擬通常用于依賴 Inter 信息服務(wù) (IIS) 來對用戶進行身份驗證的應(yīng)用程序 。 所模擬的應(yīng)用程序標(biāo)識還需要至少對應(yīng)用程序目錄和子目錄中的文件的讀訪問權(quán)限 。 （ 5） 模擬 （ 5） 模擬 ? 當(dāng)啟用模擬時 ， 只有應(yīng)用程序代碼運行在被模擬的用戶的上下文中 。 2） URL 授權(quán) 。 ? Passport 是基于 Cookie 的身份驗證服務(wù)，使用“三重 DES”加密方案。 ? 該 模 塊 根 據(jù) IIS 所 提 供 的 憑 據(jù) 構(gòu) 造 一 個 WindowsIdentity， 并將該標(biāo)識設(shè)置為該應(yīng)用程序的當(dāng)前 User 屬性值 。 2． （ 1） 安全結(jié)構(gòu) （ 2） 安全數(shù)據(jù)流 有兩種 安全數(shù)據(jù)流方案： 1） 模擬 模擬方案依賴于 IIS身份驗證和 Microsoft Windows 文件訪問安全性 ，以最大限度地減少 應(yīng)用程序本身在安全性方面的編程量 。 1． （ 1） 不良配置控制帶來的信息泄漏 義的出錯信息 ， 如果這個特性被關(guān)閉 ， 自定義的錯誤信息未被使用 ， 服務(wù)器會向客戶返回調(diào)試信息 ， 文件名 、 路經(jīng) 、 源代碼等都會泄露給用戶 。 3． CGI的漏洞 3． CGI的漏洞 （ 5） 輸入驗證錯誤：如果 CGI程序沒有沒有對輸入進行驗證 ， 如過濾特殊字符 ， 會導(dǎo)致意想不到的安全問題 ， 包括泄露系統(tǒng)文件 、 泄露敏感信息 、 系統(tǒng)指令的任意執(zhí)行等 。 ? 一般來說 ， CGI問題主要有以下幾類： （ 1） 暴露敏感或不敏感信息 。 腳本語言的安全性 CGI的安全性 1． 什么是 CGI 在物理上 ， CGI(Common Gateway Interface)是一段程序 ， 它運行在 Server上 ， 提供同客戶端 Html頁面的接口 。 ? 在使用 Cookie時 ， 不要在其中保存用戶名 、 密碼等敏感信息 ， 也不要保存可能被其他截取 Cookie的人控制的內(nèi)容 。在窗口中查找以“ Cookie:”開頭的文件或查找文本文件。 3． IE瀏覽器中 Activex控件的設(shè)置 1． 什么是 cookie Cookie是由 Netscape開發(fā)并將其作為持續(xù)保存狀態(tài)信息和其他信息的一種方式 。 ActiveX的安全性 IE瀏覽器通常應(yīng)用安全級別和認證兩種策略來保證 ActiveX插件的安全 。 如果一個快捷方式被復(fù)制到一個 Web服務(wù)器上 ， 并通過Inter來訪問 ， 將會打開存放在用戶本地的該文件的拷貝 。 5） Apache 服務(wù)器的缺省訪問特性 ? Apache 的默認設(shè)置只能保障一定程度的安全，如果服務(wù)器能夠通過正常的映射規(guī)則找到文件，那么客戶端便會獲取該文件，因此，要禁止對文件系統(tǒng)的缺省訪問。 2． Linux下 Web服務(wù)器的安全配置 （ 2） Apache服務(wù)器的安全配置 1）以 Nobody用戶運行 ? 一般情況下， Apache是由 Root 來安裝和運行的。 ? mod_auth模塊用來控制用戶和組的認證授權(quán) (Authentication)。 ? 正因為這些強大的優(yōu)勢，使 Apache Server與其他的 Web服務(wù)器相比，充分展示了高效、穩(wěn)定及功能豐富的特點。 Apache是世界使用排名第一的Web服務(wù)器軟件 ， 它可以運行在幾乎所有廣泛使用的計算機平臺上 ， 其特點是簡單 、 速度快 、 性能穩(wěn)定 ， 并可做代理服務(wù)器來使用 。 在實際應(yīng)用中可以通過修改默認端口號的方法來提高 IIS服務(wù)器的安全性 。 （ 4） 訪問權(quán)限控制 1） NTFS文件系統(tǒng)的訪問控制 Web服務(wù)應(yīng)建立在 NTFS格式之上 ， 一方面可以容易實現(xiàn)其訪問權(quán)限的控制 ， 對不同的用戶和組授予不同的訪問權(quán)限；另一方面還可以有效利用 NTFS文件系統(tǒng)的審核功能 ， 如下圖所示 。 1． Windows2023 Server下 Web服務(wù)器的安全配置 （ 1）目錄規(guī)劃與安裝 安裝前要對 Web目錄進行規(guī)劃 ， 系統(tǒng)文件和應(yīng)用文件要分別放在不同的分區(qū)上 ， 而且不要以默認的方式安裝；在安裝的過程中系統(tǒng)文件不要安裝在安裝時顯示的默認路徑上 。 ? 前臺應(yīng)用程序沒有對用戶輸入的數(shù)據(jù)或者頁面提交的信息 (如 GET)進行必要的安全檢查。 ? 目錄遍歷對于 Web服務(wù)器來說并不多見，通過對任
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1