【電子商務(wù)師培訓(xùn)資料】電子商務(wù)系統(tǒng)管理-在線瀏覽
2025-02-28 02:31本頁面
【正文】 洞 ? 用戶目錄下的 .profile文件許可權(quán)有可能讓黑客上傳木馬 ， 加入后門 ? 直接以 root身份 （ UNIX中的系統(tǒng)管理員帳號 ） 登錄后可能給整個系統(tǒng)帶來不良后果 ， 甚至導(dǎo)致系統(tǒng)崩潰 ? Unix可執(zhí)行文件的目錄如 /bin可由所有的用戶進行讀訪問 ， 這樣用戶就可以從可執(zhí)行文件中得到其版本號 操作系統(tǒng)漏洞及解決方案 ? LINUX安全漏洞及解決方案 ? 緩沖區(qū)溢出類型的安全漏洞是最為常見的一種導(dǎo)致遠(yuǎn)程網(wǎng)絡(luò)攻擊的漏洞，這種攻擊可以輕易使得一個匿名的 Inter用戶有機會獲得一臺主機的部分或全部的控制權(quán)。 ? 第二個原因是 Web服務(wù)器和應(yīng)用程序有時是在 “ 功能第一，安全其次 ” 的思想指導(dǎo)下開發(fā)出來的 系統(tǒng)軟件的漏洞及解決方案 ? Web服務(wù)器漏洞 ? Microsoft IIS緩沖區(qū)溢出 ? IIS服務(wù)器的拒絕服務(wù)漏洞 ? IIS “ .ida”為擴展名的超長 URL請求時 漏洞 ? 默認(rèn)情況下，注冊表中 “ MaxClientRequestBuffer” 鍵未被創(chuàng)建很容易地對 IIS server實行 DOS攻擊，攻擊結(jié)果將導(dǎo)致 NT系統(tǒng)的 CPU占用率達到 100% ? Microsoft數(shù)據(jù)訪問組件 (MDAC)和遠(yuǎn)程數(shù)據(jù)服務(wù)(RDS)，攻擊者可以建立非法的 ODBC連接，并獲得對 Web服務(wù)器上的內(nèi)部文件的訪問權(quán) 系統(tǒng)軟件的漏洞及解決方案 ? 瀏覽器 Netscape的漏洞 ? Java虛擬機的實現(xiàn)存在安全漏洞，它允許一個遠(yuǎn)程用戶讀取使用 scape的用戶可以訪問的本地文件的內(nèi)容，并且可以將這些文件在網(wǎng)上傳給任意用戶。他們?nèi)缓缶幾g安裝 IRC工具和網(wǎng)絡(luò)掃描工具，用它們掃描更多的 B類網(wǎng)絡(luò)，找到其它的正在使用有漏洞版本的BIND的域名服務(wù)器。 防火墻的漏洞及解決方案 ? 制定防火墻的安全策略時，微小的錯誤也可能會成為很大的漏洞。實際上在系統(tǒng)資源損失中，更大部分的威脅來自系統(tǒng)內(nèi)部 網(wǎng)絡(luò)協(xié)議的漏洞及解決方案 ? 許多協(xié)議在通常的網(wǎng)絡(luò)環(huán)境之下，用戶的信息包括口令都是以明文的方式在網(wǎng)上傳輸?shù)? ? Tel存在著許多漏洞 ，應(yīng)盡量少開沒用到的服務(wù) ? 盡量不要在 windows 中安裝 NETBIOS協(xié)議 ? 不要安裝點對點通道通訊協(xié)議。 ? 在 TCP/IP的屬性頁中選擇 IP地址 項目，然后選擇 高級 。 ? 優(yōu)點：加密功能強，并且加密功能幾乎不會影響 DBMS 功能 ? 缺點：在服務(wù)器端進行加密運算，加重數(shù)據(jù)庫服務(wù)器負(fù)載。加密運算可以在客戶端進行 ? 優(yōu)點：不會加重數(shù)據(jù)庫服務(wù)器的負(fù)載并可實現(xiàn)網(wǎng)上傳輸加密， ? 缺點是加密功能會受一些限制。 PKI ? 完整的 PKI系統(tǒng)由五大系統(tǒng)構(gòu)成： ? 權(quán)威認(rèn)證機構(gòu) (CA) ? 數(shù)字證書庫 ? 密鑰備份及恢復(fù)系統(tǒng) ? 證書作廢系統(tǒng) ? 應(yīng)用接口 （ API） （ 1） CA機構(gòu) ? CA（ Certificate Authority）是 PKI的核心組成部分，專門負(fù)責(zé)發(fā)放并管理數(shù)字證書。 （ 2）數(shù)字證書 ? 數(shù)字證書也叫電子證書（簡稱證書），又稱，符合 ITUT V3標(biāo)準(zhǔn)，應(yīng)用 PKI公開密鑰基礎(chǔ)架構(gòu)技術(shù)建立起一套嚴(yán)密的身份認(rèn)證系統(tǒng)，可保證： ? 信息傳輸?shù)谋Ｃ苄? ? 數(shù)據(jù)交換的完整性 ? 發(fā)送信息的不可否認(rèn)性 ? 實體身份的確定性 ? 目前 CA中心發(fā)放的數(shù)字證書依據(jù)對象的不同主要有個人證書、單位證書、服務(wù)器證書、代碼簽名證書等。 PKI－數(shù)字簽名過程圖示 比較 z = h( x) z ’ = fkP B( y) y= fkP V( z ) fkP B( y) fkP V( z ) y= fkP V( z ) x h( x) = z 發(fā)方公鑰 KPB 比較 發(fā)方私鑰 KPV H a s h 單項函數(shù) 數(shù)據(jù) 摘要 H a s h算法 原文 非對稱 算法加密 原文 數(shù)字簽名 數(shù)字簽名 非對稱 算法解密 原文 H a s h算法 數(shù)據(jù) 摘要 數(shù)據(jù) 摘要 發(fā)方 收方 SSL協(xié)議簡介 ? SSL的作用： ? 客戶對服務(wù)器的身份確認(rèn) ? 服務(wù)器對客戶的身份確認(rèn) ? 建立起服務(wù)器和客戶之間安全的數(shù)據(jù)通道 會話密鑰 由瀏覽器產(chǎn)生，用于加密傳輸?shù)臄?shù)據(jù) 加密會話密鑰的服務(wù)器端公有密鑰 SSL協(xié)議簡介 ? SSL原理 ? 瀏覽器利用 HTTP協(xié)議與 Web服務(wù)器溝通。 ? 在建立連接過程中采用公開密鑰，在會話過程中采用私人密鑰。 SSL協(xié)議簡介 ? SSL原理（續(xù)） ? SSL協(xié)議主要包含握手協(xié)議（ handshake protocol）和記錄協(xié)議（ record protocol）。 SSL記錄協(xié)議用來對其上層的協(xié)議進行封裝。握手協(xié)議用于客戶和服務(wù)器建立起安全連接之前交換一系列的安全信息，記錄協(xié)議確定數(shù)據(jù)安全傳輸?shù)哪Ｊ?。進行入侵檢測的軟件與硬件的組合便是入侵檢測系統(tǒng)（ Intrusion Detection System，簡稱IDS）。主機型入侵檢測系統(tǒng)保護的一般是所在的系統(tǒng)。往往將一臺計算機的網(wǎng)卡設(shè)于混雜模式（ promisc mode），監(jiān)聽所有本網(wǎng)段內(nèi)的數(shù)據(jù)包并進行判斷。 （ 3）各種入侵檢測系統(tǒng)的優(yōu)缺點 ? 網(wǎng)絡(luò)型 IDS ? 優(yōu)點主要是簡便：一個網(wǎng)段上只需安裝一個或幾個這樣的系統(tǒng)，便可以監(jiān)測整個網(wǎng)段的情況。 ? 由于現(xiàn)在網(wǎng)絡(luò)的日趨復(fù)雜和高速網(wǎng)絡(luò)的普及，這種結(jié)構(gòu)正受到越來越大的挑戰(zhàn)。 ? 主機型 IDS ? 缺點：必須為不同平臺開發(fā)不同的程序、增加系統(tǒng)負(fù)荷、所需安裝數(shù)量眾多等， ? 優(yōu)點：內(nèi)在結(jié)構(gòu)卻沒有任何束縛，同時可以利用操作系統(tǒng)本身提供的功能、并結(jié)合異常分析，更準(zhǔn)確的報告攻擊行為。這個檢測過程是不斷循環(huán)進行的。事后入侵檢測是管理員定期或不定期進行的，不具有實時性，因此防御入侵的能力不如實時入侵檢測系統(tǒng)。 ? 基于異常的檢測技術(shù) (anomalybased)。這種檢測方式的核心在于如何定義所謂的 “ 正常 ”情況。 （ 5） 常用的入侵檢測技術(shù)及其選擇 ? 基于應(yīng)用的監(jiān)控技術(shù) ? 基于主機的監(jiān)控技術(shù) ? 基于目標(biāo)的監(jiān)控技術(shù) ? 基于網(wǎng)絡(luò)的監(jiān)控技術(shù) ? 綜合以上 4種方法進行監(jiān)控
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1