【文章內容簡介】 些安全模塊負責提供 Apache Server的訪問控制和認證、授權等一系列至關重要的安全服務。 ? mod_access模塊能夠根據訪問者的 IP地址（或域名，主機名等）來控制對 Apache服務器的訪問，是基于主機的訪問控制。 ? mod_auth模塊用來控制用戶和組的認證授權 (Authentication)。用戶名和口令存于純文本文件中。 mod_auth_db和 mod_auth_dbm模塊則分別將用戶信息（如名稱、組屬和口令等）存于BerkeleyDB及 DBM型的小型數據庫中，便于管理及提高應用效率。 2． Linux下 Web服務器的安全配置 ? mod_auth_digest模塊則采用 MD5數字簽名的方式來進行用戶的認證，但它相應的需要客戶端的支持。 ? mod_auth_anon模塊的功能和 mod_auth的功能類似，只是它允許匿名登錄，將用戶輸入的 Email地址作為口令。 ? SSL（ Secure Socket Lager），被 Apache所支持的安全套接字層協(xié)議，提供 Inter上安全交易服務，如電子商務中的安全措施。通過對通訊字節(jié)流的加密來防止敏感信息的泄漏。但是， Apache的這種支持是建立在對Apache的 API擴展來實現的，相當于一個外部模塊，通過與第三方程序的結合提供安全的網上交易支持。 2． Linux下 Web服務器的安全配置 （ 2） Apache服務器的安全配置 1）以 Nobody用戶運行 ? 一般情況下， Apache是由 Root 來安裝和運行的。如果 Apache Server進程具有 Root用戶特權，那么它將給系統(tǒng)的安全構成很大的威脅，應確保Apache Server進程以最可能低的權限用戶來運行。 ? 通過修改 ，以 Nobody用戶運行 Apache 達到相對安全的目的。 2． Linux下 Web服務器的安全配置 2) Server Root目錄的權限 ? 為了確保所有的配置是適當的和安全的，需要嚴格控制 Apache 主目錄的訪問權限，使非超級用戶不能修改該目錄中的內容。 ? Apache 的主目錄對應于 Apache Server配置文件 Server Root控制項。 2． Linux下 Web服務器的安全配置 3） SSI的配置 ? 在配置文件 或 Options指令處加入 Includes Noexec選項，用以禁用 Apache Server 中的執(zhí)行功能。 ? 避免用戶直接執(zhí)行 Apache 服務器中的執(zhí)行程序，而造成服務器系統(tǒng)的公開化。 2． Linux下 Web服務器的安全配置 4）阻止用戶修改系統(tǒng)設置 ? 在 Apache 服務器的配置文件中進行設置，阻止用戶建立、修改 .htaccess文件，防止用戶超越能定義的系統(tǒng)安全特性。 5） Apache 服務器的缺省訪問特性 ? Apache 的默認設置只能保障一定程度的安全，如果服務器能夠通過正常的映射規(guī)則找到文件，那么客戶端便會獲取該文件，因此，要禁止對文件系統(tǒng)的缺省訪問。 2． Linux下 Web服務器的安全配置 6） CGI腳本的安全 ? CGI腳本是一系列可以通過 Web服務器來運行的程序。為了保證系統(tǒng)的安全性，首先應確保 CGI的作者是可信的，此外： ? 對 CGI而言，最好將其限制在一個特定的目錄下，如 cgibin之下，便于管理； ? 應該保證 CGI目錄下的文件是不可寫的，避免一些欺騙性的程序駐留或混跡其中； ? 如果能夠給用戶提供一個安全性良好的 CGI程序的模塊作為參考，也許會減少許多不必要的麻煩和安全隱患； ? 除去 CGI目錄下的所有非業(yè)務應用的腳本，以防異常的信息泄漏。 Web客戶端的安全 瀏覽器本身的漏洞 1． 傳播病毒類漏洞：有的漏洞可以被利用來傳播病毒 ， 很多病毒是通過 IE的漏洞入侵的 ， 如通過瀏覽網頁可以感染新歡樂時光等腳本病毒 。 2． 木馬類漏洞：有的漏洞還可能被木馬利用 ， 如利用 IE Object Data漏洞可以實現網頁木馬 。 該漏洞是由于 HTML中的 Object的 Data標簽引起的 。 3． DoS類漏洞：如遞歸 Frames漏洞就屬于這一類漏洞 ， 它通過編寫一段錯誤的 HTML代碼而產生遞歸效果 ， 直到耗盡內存資源 ， 從而導致 IP崩潰 。 瀏覽器本身的漏洞 4． “ 跳板 ” 類漏洞：如 IE3及之前的快捷方式漏洞 。 如果一個快捷方式被復制到一個 Web服務器上 ， 并通過Inter來訪問 ， 將會打開存放在用戶本地的該文件的拷貝 。 5． 欺騙類漏洞：如 IE7處理 URL中字符串時的漏洞 ， 遠程攻擊者可能利用此漏洞引導用戶執(zhí)行惡意操作 。 6． 用戶信息泄露類漏洞： IE瀏覽器中的安全漏洞 ， 黑客利用這個漏洞能夠使用 Google桌面軟件遠程訪問用戶的口令和信用卡賬號等個人信息 。 1． 什么是 ActiveX ActiveX是 Microsoft對于一系列策略性面向對象程序技術和工具的稱呼 ， 其中主要的技術是組件對象模型 （ COM） 。在有目錄和其它支持的網絡中 ， COM變成了分布式 COM（ DCOM） 。 ActiveX與具體的編程語言無關 ， 作為針對 Inter應用開發(fā)的技術 ， ActiveX被廣泛應用于 Web服務器以及客戶端的各個方面 。 同時 ， ActiveX技術也被用于方便地創(chuàng)建普通的桌面應用程序 。 由于 ActiveX是可以將其插入到 Web頁面或其他應用程序中的一些軟件組件或對象 ， 因而也叫 ActiveX插件或ActiveX控件 。 ActiveX的安全性 IE瀏覽器通常應用安全級別和認證兩種策略來保證 ActiveX插件的安全 。 （ 1） IE的安全級別可分為 “ 默認級別 ” 和 “ 自定義級別 ”兩種 。 IE的 “ 自定義級別 ” 為用戶提供自主選擇與實際需求相匹配安全策略的機會 。 而 “ 默認級別 ” 又分為高 、 中 、 中低 、低四級 。 ActiveX控件實際的默認級別為 “ 中 ” ， 即軟件安裝之前 ， 用戶可以根據自己對軟件發(fā)行商和軟件本身的信任程度 ，選擇決定是否繼續(xù)安裝和運行此軟件 。 （ 2） ActiveX控件通過數字簽名來進行認證 ， 瀏覽器可以拒絕未被正確簽名的 ActiveX控件 。 Microsoft采用鑒別碼認證技術對 ActiveX控件進行簽名 ， 可以讓用戶驗證 ActiveX控件作者的身份 ， 并核實是否有人篡改過這個控件 。 2． ActiveX控件的安全問題 （ 1） 啟動 IE瀏覽器 ， 點選菜單 \工具 \Inter選項 ，選擇 “ 安全 ” 選項卡 ,如下圖所示： 3． IE瀏覽器中 Activex控件的設置 （ 2） 在選擇區(qū)內請選擇 “ Inter”