web站點(diǎn)規(guī)劃設(shè)計(jì)、性能優(yōu)化及安全性-資料下載頁(yè)
2025-01-18 08:48本頁(yè)面
【正文】 安全問(wèn)題 ? （ 8）限制所支持的身份驗(yàn)證協(xié)議的級(jí)別（在 [控制面板 ]|[管理工具 ]|[本地安全設(shè)置 ]|[安全設(shè)置 ]|[本地策略 ]|[安全選項(xiàng) ]: LAN Manager身份驗(yàn)證級(jí)別中進(jìn)行設(shè)置）； ? （ 9）禁用應(yīng)用程序不需要的 SQL Server 代理和 Microsoft 搜索服務(wù)； ? （ 10） 設(shè)置 Server Network的網(wǎng)絡(luò)屬性 ,由“直接客戶端廣播”改為“隱藏 SQL Server”； ? （ 11）如應(yīng)用程序不使用“命名管道”協(xié)議，則刪除之； ? （ 12）限制數(shù)據(jù)庫(kù)用戶只具有用得到的數(shù)據(jù)庫(kù)操作權(quán)限。 ? （ 13） xp_cmdshell是擴(kuò)展存儲(chǔ)過(guò)程，可以執(zhí)行操作系統(tǒng)級(jí)命令，該存儲(chǔ)過(guò)程的功能通過(guò) SQL SERVER安裝目錄中的文件C:\Program Files\Microsoft SQL Server\MSSQL\Binn\獲得，如果系統(tǒng)沒(méi)有用到xp_cmdshell擴(kuò)展存儲(chǔ)過(guò)程，請(qǐng)將該文件換名或刪除掉。 在安裝 SQL SERVER服務(wù)器上應(yīng)考慮的安全問(wèn)題 ? （ 1）對(duì) Web應(yīng)用系統(tǒng)應(yīng)建立基于角色的用戶權(quán)限管理機(jī)制； ? （ 2）使用參數(shù)化存儲(chǔ)過(guò)程。 ? （ 3）輸入有效性驗(yàn)證。 ? （ 4）盡量少用 session和 Application變量，切忌不要通過(guò) session用來(lái)在頁(yè)面間傳遞大數(shù)據(jù)量。 ? （ 5）信息加密存儲(chǔ)。 開(kāi)發(fā) Web站點(diǎn)程序應(yīng)考慮的安全性問(wèn)題 authentication mode=Forms forms name=userInfo loginUrl= protection=All /forms/authenticationauthorization deny users=?/ /authorization ? （ 6）窗體身份驗(yàn)證。 窗體身份驗(yàn)證即是當(dāng)用戶請(qǐng)求一個(gè)安全頁(yè)面時(shí)，系統(tǒng)要對(duì)其進(jìn)行判斷，如果該用戶已經(jīng)登錄系統(tǒng)并尚未超時(shí)，系統(tǒng)將返回此頁(yè)面給請(qǐng)求用戶；反之如該用戶尚未登錄，系統(tǒng)就要將此用戶重定向到登錄頁(yè)面。 以上所述功能的實(shí)現(xiàn)只需對(duì) 。 在登錄頁(yè)面中添加如下代碼： if (與數(shù)據(jù)庫(kù)的用戶名密碼字段比較判斷用戶是否合法 ) { LoginPage(, false)。 } else { (身份不合法 !)。} 開(kāi)發(fā) Web站點(diǎn)程序應(yīng)考慮的安全性問(wèn)題 對(duì)進(jìn)行身份驗(yàn)證的登錄頁(yè)本身，應(yīng)該采取兩步方式驗(yàn)證用戶存在且密碼正確，且不可為圖簡(jiǎn)便而使用一條 SQL語(yǔ)句進(jìn)行驗(yàn)證（如果攻擊者攻破Web站點(diǎn)，并將 SQL語(yǔ)句的 where子句末尾加上一段永遠(yuǎn)為真的判斷語(yǔ)句，則無(wú)論何時(shí)他都可以通過(guò)身份驗(yàn)證，這種攻擊稱為注入式攻擊）。 存在安全隱患的身份驗(yàn)證語(yǔ)句是 : select * from users where name = namestr and password = passwdstr。 比較安全的用戶身份驗(yàn)證應(yīng)該是 :判斷用戶是否存在用 “ select name,password from users where name = namestr”。 如用戶存在，將返回一條包括用戶名和密碼的記錄，然后判斷由數(shù)據(jù)庫(kù)返回的密碼和用戶輸入的密碼值： if password = passwdstr{ //通過(guò)驗(yàn)證后的程序代碼 …… } else{ //未通過(guò)驗(yàn)證后的程序代碼 …… } 為加強(qiáng)用戶名、密碼等這些敏感信息在公網(wǎng)上的安全傳輸，應(yīng)通過(guò)安全套接字層加密后再返回給 Web服務(wù)器（例如使用 MD5,SHA1對(duì)敏感信息進(jìn)行加密）。 開(kāi)發(fā) Web站點(diǎn)程序應(yīng)考慮的安全性問(wèn)題 ? （ 7）通過(guò)在用戶登錄窗口中設(shè)置輸入驗(yàn)證碼的方法，可以防止非法用戶以程序自動(dòng)處理方式推測(cè)用戶登錄賬戶和密碼，從而提高系統(tǒng)的安全性。 ? (8)在用戶登錄輸入密碼的時(shí)候，為防止木馬程序非法錄制按鍵操作，利用自定義軟鍵盤讓用戶只能通過(guò)點(diǎn)擊鼠標(biāo)輸入密碼 .是目前很多銀行網(wǎng)站采用的一種安全登錄方式。 以上所介紹是提高 Web站點(diǎn)安全性的一般性方法，需要 Web開(kāi)發(fā)者根據(jù)應(yīng)用系統(tǒng)的安全程度很好地規(guī)劃和設(shè)計(jì)。 ? 練習(xí)思考題 : 1. 設(shè)計(jì)和開(kāi)發(fā)一個(gè) WEB站點(diǎn)需要注意哪些問(wèn)題？ 2. 建設(shè)一個(gè) WEB站點(diǎn)的一般步驟是什么？ 3. 進(jìn)行網(wǎng)站開(kāi)發(fā)時(shí)，應(yīng)該從哪些方面來(lái)提高網(wǎng)站性能和安全？
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1