下面我給大家稍微講講一下幾個(gè)方面的web安全問(wèn)題與對(duì)策
1）SQL注入掛馬
2）網(wǎng)絡(luò)帶寬耗盡（迅雷等資源盜鏈）
3）DDOS攻擊
4）XSS Worm
5）網(wǎng)頁(yè)被篡改
6）ARP掛馬
首先給大家介紹下SQL注入掛馬
Web編程門檻很低，新手很容易上路。在一段不長(zhǎng)的時(shí)間里，新手往往就已經(jīng)能夠編出看來(lái)比較完美的動(dòng)態(tài)網(wǎng)站，在功能上，老手能做到的，新手也能夠做到。那么新手與老手就沒(méi)區(qū)別了嗎？這里面區(qū)別可就大了，只不過(guò)外行人很難一眼就看出來(lái)罷了。
相當(dāng)大一部分程序員在編寫代碼的時(shí)候，沒(méi)有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，使應(yīng)用程序存在安全隱患。
目前SQL注入掛馬的現(xiàn)象比較嚴(yán)重，我就著重講講SQL注入掛馬的成因以及對(duì)策。
SQL注入掛馬的成因是程序員沒(méi)有安全意識(shí)或者對(duì)安全不夠了解造成的，常見(jiàn)的注入主要有數(shù)字型、字符型、搜索型和包含型。
對(duì)于字符型這個(gè)大家基本上都知道過(guò)濾掉單撇號(hào)了，然而過(guò)濾單撇號(hào)只對(duì)字符型有效。
那么對(duì)于數(shù)字型注入我們應(yīng)該怎樣防范呢，首先可以限制請(qǐng)求的長(zhǎng)度。
比如asp中的len()函數(shù) asp.net中的length等等
其次可以用cint() int.phrase()等對(duì)傳入的數(shù)據(jù)進(jìn)行轉(zhuǎn)換，如果不是數(shù)字就不能繼續(xù)執(zhí)行，還有一個(gè)辦法就是對(duì)數(shù)據(jù)庫(kù)賬號(hào)做權(quán)限限制，這樣其它的惡意sql語(yǔ)句就不會(huì)執(zhí)行了。
其它的幾種sql注入也可以依次類推，時(shí)間有限我就不多講了
下面介紹下第二個(gè)欄目 網(wǎng)絡(luò)帶寬耗盡
有很多資源下載站，甚至是普通站點(diǎn)一個(gè)下載資源被提交到迅雷的數(shù)據(jù)庫(kù)中，就導(dǎo)致大面積迅雷從該網(wǎng)站下載，一般普通站點(diǎn)也就是幾兆帶寬，迅雷這樣一下載，網(wǎng)站就顯得奇慢無(wú)比，甚至不能打開(kāi)網(wǎng)站。
那么有沒(méi)有好的解決方案可以防止類似事情發(fā)生呢，答案是肯定的。
首先我們可以不斷變換文件url，這個(gè)可以通過(guò)urlrewriter來(lái)實(shí)現(xiàn)，其次可以使用一些專業(yè)的軟件，比如安全傘之類的，最后可以把下載資源放到ftp里面下載，很多ftp軟件都有ip和流量限制，這樣基本可以保護(hù)我們的帶寬資源了。
變換文件url是指通過(guò)修改urlrewriter的url重寫規(guī)則實(shí)現(xiàn)同一文件不同時(shí)間的url地址不一樣。
DDoS攻擊又叫分布式的拒絕服務(wù)攻擊
你理解了DoS攻擊的話，它的原理就很簡(jiǎn)單。如果說(shuō)計(jì)算機(jī)與網(wǎng)絡(luò)的處理能力加大了10倍，用一臺(tái)攻擊機(jī)來(lái)攻擊不再能起作用的話，攻擊者使用10臺(tái)攻擊機(jī)同時(shí)攻擊呢？用100臺(tái)呢？DDoS就是利用更多的傀儡機(jī)來(lái)發(fā)起進(jìn)攻，以比從前更大的規(guī)模來(lái)進(jìn)攻受害者。
被DDoS攻擊時(shí)的現(xiàn)象
1）被攻擊主機(jī)上有大量等待的TCP連接
2）網(wǎng)絡(luò)中充斥著大量的無(wú)用的數(shù)據(jù)包，源地址為假
3）制造高流量無(wú)用數(shù)據(jù)，造成網(wǎng)絡(luò)擁塞，使受害主機(jī)無(wú)法正常和外界通訊
4）利用受害主機(jī)提供的服務(wù)或傳輸協(xié)議上的缺陷，反復(fù)高速的發(fā)出特定的服務(wù)請(qǐng)求，使受害主機(jī)無(wú)法及時(shí)處理所有正常請(qǐng)求，嚴(yán)重時(shí)會(huì)造成系統(tǒng)死機(jī)。
對(duì)于這種攻擊，數(shù)據(jù)量比較大的話沒(méi)有很好的解決辦法，即使象baidu這樣的公司也被攻擊的不能正常訪問(wèn)，所以大家在選在機(jī)房的時(shí)候最好能找有硬件防DOS設(shè)備的機(jī)房。
那么小數(shù)量的攻擊我們?cè)趺磥?lái)自己解決呢？
下面我給大家介紹關(guān)于web maxconnection 攻擊的解決辦法
使用netstat -an>ip.txt
把當(dāng)前的用戶連接保存到ip.txt文件
然后提取同一ip連接數(shù)量比較多的ip
這個(gè)可以用批處理實(shí)現(xiàn)
最后用批處理建立ipsec規(guī)則將這些ip屏蔽掉
大致是通過(guò) netstat 找到嫌疑IP ,然后屏蔽掉這些IP
緊接著我們來(lái)談?wù)劸W(wǎng)頁(yè)被篡改
對(duì)于網(wǎng)頁(yè)被篡改的技術(shù)和起源
這里就不多做解釋了
有興趣的可以看下http://security.ccidnet.com/pub/images/tech/security/zhuanti/websec/index.html
在線訪談 - 關(guān)于網(wǎng)頁(yè)的防篡改技術(shù)分析
2007年我受邀賽迪網(wǎng)的在線訪談
今天我們著重談下如何免費(fèi)的實(shí)現(xiàn)網(wǎng)頁(yè)的防篡改
目前市場(chǎng)上的網(wǎng)頁(yè)防篡改產(chǎn)品很多，而且非常昂貴，大部分是政府購(gòu)買。
免費(fèi)的實(shí)現(xiàn)網(wǎng)頁(yè)的防篡改有兩種途徑：
一是通過(guò)限制IIS用戶對(duì)網(wǎng)頁(yè)權(quán)限來(lái)實(shí)現(xiàn)，IIS用戶對(duì)網(wǎng)頁(yè)文件只有讀取權(quán)限。
二是通過(guò)EQSecure和Mcafee等主動(dòng)防御軟件的文件防御來(lái)實(shí)現(xiàn)
EQSecure可以實(shí)現(xiàn)對(duì)指定目錄的指定文件具有讀寫等權(quán)限，只要設(shè)置得當(dāng)，效果甚至比市面上幾萬(wàn)的網(wǎng)頁(yè)防篡改軟件都要好。
ARP掛馬我也不多講了，基本通過(guò)360的arp防火墻就可以實(shí)現(xiàn)。
聯(lián)系客服
