網(wǎng)站安全方案書-文庫(kù)吧資料
2025-07-31 09:21本頁(yè)面
【正文】 的輸入接口，也包括 HTTP 請(qǐng)求中的 Cookie 中的變量， HTTP 請(qǐng)求頭部中的變量等。 7． XSS 蠕蟲： XSS 蠕蟲可以用來(lái)打廣告、刷流量、掛馬、惡作劇、破壞網(wǎng)上數(shù)據(jù)、實(shí)施 D Dos 攻擊等 。 5． 垃圾信息發(fā)送：比如在 SNS 社區(qū)中，利用 XSS 漏洞借用被攻擊者的身份發(fā)送大量的垃圾信息給特定的目標(biāo)群。如果一個(gè)網(wǎng)站管理員用戶 Cookie被竊 取，將會(huì)對(duì)網(wǎng)站引發(fā)巨大的危害。 網(wǎng)絡(luò)安全實(shí)訓(xùn) 7 2． 網(wǎng)站掛馬：跨站利用 I Frame 嵌入隱藏的惡意網(wǎng)站或者將被攻擊者定向到惡意網(wǎng)站上，或者彈出惡意網(wǎng)站窗口等方式都可以進(jìn)行掛馬攻擊。 XSS 攻擊中 WEB 服務(wù)器沒(méi)有過(guò)濾類似 script標(biāo)簽字符串是導(dǎo)致 XSS 攻擊得逞的最主要原因。攻擊者注入的標(biāo)簽與腳本最終都要在客戶端執(zhí)行，攻擊的過(guò)程實(shí)際上都在客戶端的瀏覽器上發(fā)生的。 XSS 攻擊對(duì) WEB 服務(wù)器雖無(wú) 直接危害，但是它借助網(wǎng)站進(jìn)行傳播，使網(wǎng)站的使用用戶受到攻擊，導(dǎo)致網(wǎng)站用戶帳號(hào)被竊取，從而對(duì)網(wǎng)站也產(chǎn)生了較嚴(yán)重的危害。一般而言，利用跨站腳本攻擊，攻擊者可竊會(huì)話 COOKIE 從而 竊取網(wǎng)站用戶的隱私，包括密碼。 8． 在網(wǎng)站發(fā)布之前建議使用一些專業(yè)的 SQL 注入檢測(cè)工具進(jìn)行檢測(cè)，及時(shí)修補(bǔ)這些SQL 注入漏洞。 6． 嚴(yán)格限制網(wǎng)站用戶的數(shù)據(jù)庫(kù)的操作權(quán)限，給此用戶提供僅僅能夠滿足其工作的權(quán)限，從而最大限度的減少注入攻擊對(duì)數(shù)據(jù)庫(kù)的危害。 4． 數(shù)據(jù)長(zhǎng)度應(yīng)該嚴(yán)格規(guī)定，能在一定程度上防止比較長(zhǎng)的 SQL 注入語(yǔ)句無(wú)法正確執(zhí)行。等）進(jìn)行轉(zhuǎn)義處理，或編碼轉(zhuǎn)換。\amp。當(dāng)前幾乎所有的數(shù)據(jù)庫(kù)系統(tǒng)都提供了參數(shù)化 SQL 語(yǔ)句執(zhí)行接口，使用此接口可以非常有效的防止 SQL 注入攻擊。 的解決方法 解決 SQL 注入問(wèn)題的關(guān)鍵是對(duì)所有可能來(lái)自用戶輸入的數(shù)據(jù)進(jìn)行嚴(yán)格的檢查、對(duì)數(shù)據(jù)庫(kù)配置使用最小權(quán)限原則。 破壞硬盤數(shù)據(jù)，癱瘓全系統(tǒng)。 服務(wù)器被遠(yuǎn)程控制，被安裝后門。 網(wǎng)站被掛馬，傳播惡意軟件：修改數(shù)據(jù)庫(kù)一些字段的值，嵌入網(wǎng)馬鏈接，進(jìn)行掛馬攻擊。作為數(shù)據(jù)的存儲(chǔ)中心，數(shù)據(jù)庫(kù)里往往保存著各類的隱私信息， SQL 注入攻擊能導(dǎo)致這些隱私信息透明于攻擊者。大多數(shù)情況下， SQL 注入的過(guò)程都是由工具完成的， 其中包括大批量注入工具的使用。 服務(wù)端從客戶端直接或間接獲取數(shù)據(jù)的過(guò)程都是一次輸入過(guò)程， 無(wú)論直接或間接，默認(rèn)情況下輸入的數(shù)據(jù)都應(yīng)該認(rèn)為是不安全的。 4． HTTP 請(qǐng)求頭部的一些可修改的值，比如 Referer、 User_Agent 等。 2． URL 參數(shù)提交，主要為 GET 請(qǐng)求參數(shù)。 在 SQL 注入攻擊之前，首先要找到網(wǎng)站中各類與數(shù)據(jù)庫(kù)形成交互的輸入點(diǎn)。 注入位置 無(wú)論是內(nèi)網(wǎng)環(huán)境還是外網(wǎng)環(huán)境（互聯(lián)網(wǎng)）， B/S 架構(gòu)的 Web 應(yīng)用（以下指網(wǎng)站）都直接或者間接地受到各種類型的 Web 攻擊的影響 。 SQL 注入攻擊 是發(fā)生在應(yīng)用程序的數(shù)據(jù)庫(kù)層上的安全漏洞。 這類一般為一些正在學(xué)習(xí)黑客技術(shù)的人通過(guò)攻擊網(wǎng)站練習(xí)的人駭客新手，這類攻擊一般攻擊經(jīng)驗(yàn)少，容易對(duì)網(wǎng)站數(shù)據(jù)造成破壞 。 網(wǎng)站服務(wù)不好而引起的商業(yè)糾紛等無(wú)法處理的時(shí)候會(huì)有黑客攻擊行為；如前一段時(shí)間某威客網(wǎng)站經(jīng)常遭受莫名攻擊導(dǎo)致無(wú)法正常提供服務(wù)，有權(quán)威人士就指出乃是因?yàn)槠渚W(wǎng)站客戶服務(wù)不到位，無(wú)故刁難客戶導(dǎo)致黑客人士不平進(jìn)而遭受 DDOS 攻擊，根本不是所謂其自己據(jù)稱 的遭受競(jìng)爭(zhēng)對(duì)手惡意攻擊。 隨意篡改網(wǎng)站首頁(yè)；這類黑客攻擊往往是一些新手的 嘗試行為，更多的是為了一種虛榮心的滿足。 網(wǎng)絡(luò)安全實(shí)訓(xùn) 2 二 .黑客攻擊網(wǎng)站的目的 商業(yè)競(jìng)爭(zhēng)對(duì)手惡意競(jìng)爭(zhēng)通過(guò)黑客手法攻擊；如據(jù)互聯(lián)安全網(wǎng)報(bào)道： 黑客受雇惡意文檔攻擊西方企業(yè)，這類攻擊就屬于商業(yè)競(jìng)爭(zhēng)行為。正因?yàn)槿绱耍?網(wǎng)頁(yè)掛馬、 數(shù)據(jù) 篡改等網(wǎng)站安全事件層出不窮，網(wǎng)站被攻擊 而遭受損失 的媒體報(bào)道 屢見(jiàn)不鮮 ， 網(wǎng)站安全形勢(shì)日益嚴(yán)峻 。 網(wǎng)站的作用 人們的生活已經(jīng)跟網(wǎng)站緊密相關(guān)，獲取知識(shí)、瀏覽新聞、游戲娛樂(lè)、在線購(gòu)物甚至網(wǎng)上炒股，網(wǎng)站給人們帶來(lái)的 太多的 便利。 網(wǎng)站安全解決方案 指導(dǎo)老師： 小組 成員： 2 目錄 一．為什么關(guān)注網(wǎng)站安全問(wèn)題 .......................................................................................... 1 網(wǎng)站的作用 ......................................................................................................... 1 網(wǎng)站被攻擊帶來(lái)的損失 ....................................................................................... 1 二 .黑客攻擊網(wǎng)站的目的 ................................................................................................... 2 ....................................................................................... 2 . 受商業(yè)利益驅(qū)使 ............................................................................................... 2 .....
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1