2009年 8月 20日星期四
12时 4分 47秒
Web安全 1
第四章 web安全知 识 点：
● 服务器安全
● 浏览器安全难 点：
● 服务器安全策略
● 浏览器安全策略内容：
● 服务器安全策略
● 浏览器安全问题
● 服务器安全问题
2009年 8月 20日星期四
12时 4分 47秒
Web安全 2
第 1节 Web技术简介
Web又称 World Wide Web(万维网 )，其基本结构是采用开放式的客户 /服务器结构（ Client/Server），分成服务器端、客户接收端以及传输规程三个部分,
服务器规定传输设定、信息传输格式和服务器本身的开放式结构
客户机统称浏览器，用于向服务器发送资源索取请求，并将接收到的信息进行解码和显示；
通信协议是 Web浏览器与服务器之间进行通讯传输的规范 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 3
4.1.1 HTTP协议
HTTP（ HyperText Transfer Protocol，超文本传输协议）协议是分布式的 Web应用的核心技术协议，在 TCP/IP协议栈中属于应用层。
它定义 Web浏览器向 Web服务器发送索取 Web页面请求格式以及
Web页面在 Internet上的传输方式。
HTTP协议一直在不断的发展和完善。
了解 HTTP的工作过程，可以更好地监测 Web服务器对 Web浏览器的响应，对于 Web的安全管理非常有用。一般情况下,Web服务器在 80端口等候 Web浏览器的请求； Web浏览器通过 3次握手与服务器建立 TCP/IP连接，然后 Web浏览器通过类似如下简单命令向服务器发送索取页面的请求：
– GET/dailynews.html
服务器则以相应的文件为内容响应 Web浏览器的请求。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 4
4.1.2 HTML语言与其他 Web编程语言
Web的特点决定了 Web的内容必须能够以适当的形式来组织和安排，使得它在各种平台上的 Web浏览器上能够得到正确的解释，
并具有丰富层次的界面，如文本、图形图像和连接等应该具有不同的诠释和显示。
HTML（ Hyper Text Markup Language，超文本标识语言）语言的出现解决了页面作者定制网页总体轮廓的问题，用文本语言的方式实现了 Web内容和存储上的统一。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 5
4.1.2 HTML语言与其他 Web编程语言
HTML几乎为所有常见的 Web浏览器所支持。 Web浏览器在得到
Web页面之后，根据 HTML语言的标记来决定页面的层次结构和显示格式，并且可以通过 URL（ Universal Resource Locator）来实现 Web页面的连接和跳转。对用户而言则是透明的。
支持图像、动画和声音等多媒体内容的嵌入，即所谓 HyperMedia。
HTML中可以包括层叠式样表 CSS（ Cascading Style Sheets）。
CSS属于一种式样设计模板（ Design Templates）。它能够帮助用户控制 HTML元素的呈现方式和轮廓，将 HTML的内容制作和式样设计分开。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 6
4.1.3 Web服务器
Internet 上众多的 Web服务器汇集了大量的信息,Web服务器的作用就是管理这些文档，处理用户发来的各种请求，将满足用户要求的信息返回给用户。
本质上来说,Web服务器是驻留在服务器上的一个程序，通过
Web浏览器与用户交互操作，为用户提供兴趣信息。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 7
4.1.4 Web浏览器
Web浏览器是阅读 Web上的信息的客户端的软件。如果用户在本地机器上安装了 Web浏览器软件，就可以读取 Web上的信息了。
Web浏览器在网络上与 Web服务器打交道，从服务器上下载和获取文件。
Web浏览器有多种，他们都可以浏览 Web上的内容，只不过所支持的协议标准以及功能特性各有异同罢了。绝大部分的浏览器都运用了图形用户界面。目前常用的有：
– Netscape Navigator,Netscape Communicator,Microsoft Internet
Explorer,Opera,Mosaic 和 Lynx等等。
Netscape 的浏览器几乎可以在所有的平台上运行，而且具有创意,
Microsoft Internet Explorer则是 Web浏览器市场的霸主。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 8
4.1.5 公共网关接口介绍
CGI，指的是公共网关接口（ Common Gateway Interface ）
是 Web信息服务器与外部应用程序之间交换数据的标准接口。
1．功能
– 收集从 Web浏览器发送给 Web服务器的信息，并且把这些信息传送给外部程序；
– 把外部程序的输出作为 Web服务器对发送信息的 Web浏览器的响应，
发送给该 Web浏览器。
Web服务器真正实现了与 Web浏览器用户之间的交互。比如,：
– 收集用户意见和建议；
– 根据用户要求，从服务器上的数据库中提取相关信息并回传给用户；
– 为用户创建动态的图表。如股票市场的动态走势图等。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 9
4.1.5 公共网关接口介绍
2,CGI的工作原理
在 HTML文件中，表单（ Form）与 CGI程序配合使用，共同来完成信息交流的目的。一般过程是：
（ 1） 用户用 Web浏览器提交表单登录；
（ 2） Web浏览器发送登录请求到 Web服务器；
（ 3） Web服务器分析 Web浏览器送来的数据包，确认是 CGI请求，
于是通过 CGI将表单数据按照一定格式送给相应的 CGI应用程序；
（ 4） CGI应用程序对数据处理，验证，将动态生成的页面发送给
Web服务器；
（ 5） Web服务器把 CGI应用程序东来的页面发送给请求登录的
Web浏览器；
（ 6） Web浏览器接收到，并解释、显示页面。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 10
4.1.5 公共网关接口介绍
3,CGI的与服务器的交互关系
Web浏览器向 Web服务器提交表单数据通常有两种方式：
（ 1） Post方式。 Web服务器通过标准输入方式把数据转交 CGI应用程序。数据处理完毕后，将结果输出到标准输出既可以为 Web
服务器所接收。
（ 2） Get方式。在 UNIX类的系统中,Web服务器通过环境变量来把数据转交 CGI应用程序的。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 11
4.1.5 公共网关接口介绍
4,CGI的替代产品
Web越来越流行，随着市场需求的增大，用于构建强大网站应用程序的工具纷纷出现。如：
– 微软公司的 ASP（ Active Server Pages）
– Allaire公司的 Cold Fusionh
– PHP/FI 等
2009年 8月 20日星期四
12时 4分 47秒
Web安全 12
第 2节 Web的安全需求
Web改变了现代人的生活，为人类带来了前所未有的机遇和挑战。
现代人在感受到它的美好并尽情享受时，也已经开始担忧在虚幻的这种网络世界里，能否保证自己的安全和隐私。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 13
1,Web带来的利益
网络的美丽，网络的绚烂多彩，让人们感受到了 Web的技术的强大，所以网络用户在迅速增大，网络站点在迅速增多。
首先，建立和使用网站不再是什么困难的事情。
– 软件丰富，硬件价格低廉，技术的普及，使得很多人都可以建立和使用网站来处理数据和信息。
Web服务，可以减轻商家的负担，提高用户的满意度,
– 因为它可以节省大量的人力，用户随时可以利用 Web浏览器给商家反馈信息、提出意见和建议，并且可以得到自己的服务；商家则可以利用网络的 Web，使得自己很容易的把服务推广到全球网络覆盖的地方，而不一定必须派专人作为商务代表常驻世界各地。
Web增进了相互合作,
– 传统的人们为了交流，要花费许多时间和金钱，长途跋涉或者等候邮局的包裹信函。通过 Web，团队之间可以互相交流，费用低廉。
随着 Web技术的不断更新和完善，它肯定会推出更加先进的服务。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 14
2,Web带来的忧虑
美国东部时间 1999年 6月 29日 7点 36分，电脑黑客使用了一种为人熟知的软件攻击了美国陆军的主要站点，而且在长达 9个小时的时间里面没有人发现。
2000年 2月 7日到 9日这三天中，包括雅虎公司、亚马逊书店、有线电视新闻网等美国各大公司的网站都受到来历不明的电子攻击；
之后，微软的 3家网站也受到类似的攻击 ……
在一年一度的赌城拉斯维加斯大会开幕的当天，一群自称没钱聚会的黑客黑掉了黑客站点 ……
本周日（ 2000.01.15）早些时候，黑客袭击了以网络安全技术著称的美国 RSA Security Inc的站点 http,//www.rsa.com，篡改了该站点的主页。 RSA安全实验室的市场宣传口号是“电子安全领域最值得信赖的名字”，它的世界商用加密技术、电子钥匙经营以及电子鉴定技术等领域都处于领先地位。
…………
2009年 8月 20日星期四
12时 4分 47秒
Web安全 15
网络不安全 !
信息泄漏
– 攻击者非法访问、获取目标机器（ Web服务器或者浏览器）上的敏感信息；
或者中途截取 Web服务器和浏览器之间传输的敏感信息；或者由于配置、软件等的原因无意泄漏的敏感信息；
拒绝服务
– 该威胁不容易抵御。攻击者的直接目的不在于侵入计算机，而是在短时间内向目标发送大量的正常的请求包并使得目标机器维持相应的连接，或者发送需要目标机器解析的大量无用的数据包。使得目标机器资源耗尽还是应接不暇，根本无法相应正常的服务。
系统崩溃
– 通过 Web篡改、毁坏信息，甚至篡改、删除关键文件，格式磁盘等等使得 Web服务器或者浏览器崩溃。
跳板：
– 这种危险使得非法破坏者常常逍遥法外。攻击者非法侵入目标机器，并以此为基地，进一步攻击其他目标，从而使得这些目标机器成为“替罪羊”，遭受困扰甚至法律处分。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 16
Web为什么会如此的不安全？
原因只有一个：
因为它连接在计算机网络上！
2009年 8月 20日星期四
12时 4分 47秒
Web安全 17
4.2.2 Web安全风险与体系结构
从 Web服务器角度来讲，服务器风险比 Web浏览器用户更大。因为一旦开设了服务器，就必须给众多的客户访问的权力，大多数网民满足于欣赏 Web服务器管理员安排的友好界面和所需资料的获取和使用，但是少数人可能会好奇，“界面的背后是什么？”，
“能否把这个显示的界面改一改？”等等想法都可能导致页面被更换、内容被破坏等等不幸的事情发生。
– 软件开发工程师说“庞大而且复杂的软件程序不能避免出现 bug”；
– 系统安全专家 说“有 bug的软件会使得系统不安全”。
Web服务器序可能存在漏洞，也是 Web系统的安全漏洞。
做到绝对的 Web安全，几乎可以说是不可能的，但是，我们可以尽量避免出现不安全的因素。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 18
1,Web的安全体系结构
Web浏览器软件的安全；
Web服务器上 Web服务器软件的安全；
主机系统的安全；
客户端的局域网；
服务器端的局域网；
Internet。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 19
2,主机系统的安全
主机系统的安全主要是指的浏览器端的计算机设备及其操作系统的安全。攻击者通常通过对主机的访问来获取主机的访问权限，
一旦恶意用户突破了这个机制，就可以完成任意的操作。
通常情况下，口令的不安全，有以下几点：
– 大部分个人计算机无认证系统，根本没有口令与身份认证的概念。
所以,没有认证机制的 PC是 Web服务器的最不安全的平台。
– 非法获取口令，是网络上主机的最大安全威胁。主要有两种途径：
口令破译。
– 它重复的猜测口令并验证，直到口令正确。
口令监听。
– 也是获取口令的一种方法，通过使用网络“监听”技术来获取口令。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 20
3.网络系统的安全
关于网络系统的安全,
– 漏洞
– 平台
– IP安全
– 层间安全
– …...
2009年 8月 20日星期四
12时 4分 47秒
Web安全 21
4,Web应用的安全
了解 Web的安全需求是实现 Web安全的第一步，实现 Web安全，
要从以下三个方面考虑：
– Web服务器的安全需求；
– Web浏览器的安全需求；
– Web传输过程的安全需求 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 22
4.2.3 Web服务器的安全需求
随着开放系统的发展和 Internet的延伸，技术间的交流变得越来越容易 ;
人们也更容易获取功能强大的攻击安全系统的工具软件；
由于人才流动频繁，掌握系统安全情况的有关人员可能会成为无关人员，从而使得系统安全秘密的扩散成为可能。所以,
– 不能靠,不让别人知道,的途径来实现安全
2009年 8月 20日星期四
12时 4分 47秒
Web安全 23
（ 1） 维护公布信息的真实完整
– 是 Web服务器最基本的要求。
– Web服务器在一定程度上是站点拥有者的代言人
（ 2） 维持 Web服务的安全可用
– 要确保用户能够获得 Web服务，防止系统本身可能出现的问题以及他人的恶意的破坏；
– 要确保所提供的服务是可信的，尤其是金融或者电子商务的站点。
（ 3） 保护 Web访问者的隐私
– 用户 IP地址，电子邮件地址，所用计算机名称，单位名称，计算机简单说明，所访问页面内容，访问时间，传输数据量，甚至个人的信用卡号码等信息。
（ 4） 保证 Web服务器不被入侵者作为“跳板”使用
– 是 Web服务器最基本的要求。
Web服务器不能被作为“跳板”来进一步侵入内部网络；
保证 Web服务器不被用作“跳板”来进一步危害其他网络。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 24
4.2.4 Web浏览器的安全需求
Web浏览器,
– 简单实用
– 功能强大
浏览器的用户的安全问题：
– 用户轻点鼠标,——>精彩的网页 ——>浏览器程序已经把某些信息传送给网络上的某一台计算机（可能在世界的另一个角落），浏览器向它索取网页，网页通过网络传到浏览器计算机中，传来的内容，
有的是浏览器用户需要的，能够看到的，但是同时还有浏览器不能显示的内容，悄悄的存入浏览器计算机的硬盘上，这些不显示的内容，可能是协议工作内容，对用户是透明的，但是也可能是恶作剧代码，或者是蓄意破坏的代码，它们会窃取 Web浏览器用户的计算机上的所有可能的隐私，也可能破坏计算机的设备，还可能使得用户在网上冲浪时误入歧途。
因此,Web浏览器的安全也应该注意保障。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 25
用户 Web安全需求
确保运行浏览器的系统不被病毒或者木马或者其他恶意程序侵害而遭受破坏；
确保个人安全信息不外泄；
确保所交互的站点的真实性。以免得被骗，遭受损失。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 26
4.2.5 Web传输的安全需求
保证传输方（信息）的真实性：
– 要求所传输的数据包必须是发送方发出的，而不是他人伪造的；
保证传输信息的完整性：
– 要求所传输的数据包完整无缺，当数据包被删节或被篡改时，有相应的检查办法。
特殊的安全性较高的 Web，需要传输的保密性：
– 敏感信息必须采用加密方式传输，防止被截获而泄密；
认证应用的 Web，需要信息的不可否认性：
– 对于那种身份认证要求较高的 Web应用，必须有识别发送信息是否为发送方所发的方法；
对于防伪要求较高的 Web应用，保证信息的不可重用性：
– 努力做到信息即使被中途截取，也无法被再次使用。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 27
第 3节 Web服务器安全策略
4.3.1 定制安全政策
4.3.2 认真组织 Web服务器
4.3.3 跟踪最新安全指南
4.3.4 意外事件的处理
2009年 8月 20日星期四
12时 4分 47秒
Web安全 28
4.3.1 定制安全政策
1,定义安全资源，进行重要等级划分
2,进行安全风险评估
3,制定安全策略的基本原则
4,建立安全培训制度
5,具有意外事件处理措施
2009年 8月 20日星期四
12时 4分 47秒
Web安全 29
4.3.2 认真组织 Web服务器
服务器的安全策略，有很多内容，
简单说明几个必须的内容,
2009年 8月 20日星期四
12时 4分 47秒
Web安全 30
1,认真选择 Web服务器设备和相关软件
对于 Web服务器，最显著的性能要求是响应时间和吞吐率。其中，典型的功能包括：
– 提供静态页面和多种动态页面的能力；
– 接受和处理用户信息的能力；
– 提供站点搜索服务的能力；
– 远程管理的能力。
而典型的安全方面的要求包括：
– 在已知的 Web服务器漏洞中，针对该类型的最少；
– 对服务器的管理操作只能由授权用户执行；
– 拒绝通过 Web访问不公开的信息；
– 能够禁止内嵌的不必要的网络服务；
– 能够控制各种形式的可执行程序的访问；
– 能对某些 Web操作进行日志记录，便于执行入侵监测和入侵企图分析；
– 能够具有一定的容错性 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 31
2,仔细配置 Web服务器
（ 1） 将 Web服务器与内部网络分隔开来
（ 2） 维护安全的 Web站点的拷贝
（ 3） 合理配置主机系统
（ 4） 合理配置 Web服务器软件
2009年 8月 20日星期四
12时 4分 47秒
Web安全 32
（ 1） 将 Web服务器与内部网络分隔开来
Web服务器被入侵的时候，可能的危害有：
– Web服务器系统被破坏甚至崩溃；
– 入侵者收集敏感信息，如用户名，口令等；
– 入侵者借助入侵的服务器为基础，进一步破坏其他网络。
所以，为了避免上述情况，我们应当把 Web服务器隔离开来，可以采用：
– 使用智能 HUB或者二层交换机隔离；
– 所有内部网络的交换信息都采用加密方式；
– 使用防火墙包过滤功能将 Web服务器和内部网络隔离；
– 使用带有防火墙功能的三、四层交换机。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 33
（ 2） 维护安全的 Web站点的拷贝
备份系统是系统管理员的法宝。所以，一般情况下，
Web服务器都采用多台备份机器在服务。但是要保证两点：
– 首先，备份的内容是真实可靠的；
– 其次，备份存储的地方是非常可靠的，安全的。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 34
（ 3） 合理配置主机系统
主机的操作系统是 Web的直接支撑者，合理地配置主机系统，能够为 Web服务器提供强健的安全支持。可以从两个方面考虑：
①仅仅提供必要的服务
– 配置软件简单，只需考虑一种 Web服务；
– 管理人员单一，便于管理；
– 用户访问方式单一，便于管理；
– 访问日志文件较少，便于审计；
– 避免多种服务之间的故障冲突。
②选择使用必要的辅助工具
选择辅助工具，简化主机安全管理,
– UNIX系统的 tcp_wrapper 工具，对系统起到一定的安全保护作用。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 35
（ 4） 合理配置 Web服务器软件
① 在设置 Web服务器访问控制规则的时候，要注意一些事项，
Web服务器一般提供如下几种类型的访问控制方法：
– 通过 IP地址、子网域名来控制。这种方法要尽量避免,欺骗”。
– 通过用户名 /口令限制控制访问。这种方法要尽量避免口令被窃取。
– 通过公用密钥加密的方法控制访问。
②对于 Web服务器的有关目录必须设置权限。具体设置在此不详细描述。
③谨慎使用安全性比较脆弱的 Web服务器功能，比如，自动目录列表功能，符号连接功能，用户维护目录功能，等等。
④把服务限制在有限的文件空间范围内。
⑤配置好 Web服务器的管理功能。尽量禁止远程管理等功能。
⑥要记录 Web服务器的安全状态信息。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 36
3,谨慎组织 Web服务器的相关内容
Web服务器的相关内容必须谨慎组织，以保证网站的信誉。其内容主要包括以下几个方面：
– （ 1） 联接检查，检查源程序，察看联接 URL和相应的内容是否图文一致，察看 URL所提供的内容是否和网页的描述一致；
– （ 2） CGI程序检测，防止非法用户的恶意使用 CGI程序，造成破坏。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 37
4,安全管理 Web服务器
Web服务器的安全管理不是一劳永逸的，需要认真维护。
（ 1） 更新 Web服务器内容尽量采用安全方式，比如，尽可能的避免网络更新，而是采用本地方式；
（ 2） 经常审查有关日志记录。按照 HTTP协议的规定 ;
（ 3） 进行必要的数据备份 ;
（ 4） 定期对 Web服务器进行安全检查。
（ 5）使用 辅助工具。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 38
常用的 Web服务器响应代码有：
– 200：用户请求被正确响应；
– 302,URL被重定向到其他文件；
– 400：用户请求有错误；
– 401：所访问的文件要求进行身份认证；
– 403：所请求的文件被禁止访问；
– 404：所请求的文件没找到；
– 500：服务器内部错误；
– 501,Web服务器没安装所请求的应用方法；
– 503：服务器资源不足 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 39
（ 3） 进行必要的数据备份。
– 备份是对付任何意外事故的保留方法，是系统的最后的安全防线。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 40
（ 4） 定期对 Web服务器进行安全检查。
安全检查的目的有两个：
– 及时发现 Web服务器系统的安全缺陷；
– 及时发现入侵踪迹。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 41
（ 5） 辅助工具
SSH，是一个网络远程登录的工具，在认证机制和加密传输的基础上提供执行命令，拷贝文件等功能，可以防止 IP欺骗,DNS欺骗等。
免费的运行于 UNIX系统的 Tripe Wire，能够帮助管理员发现被非法篡改的文件。
入侵检测工具，如 SATAN；
日志审计工具，如 Analog。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 42
4.3.3 跟踪最新安全指南
1,及时更新系统软件和应用软件的版本，避免已存在漏洞的仍旧使用；
2,了解最新发现的安全漏洞和新的攻击工具的特点，以便做好预防；
3,了解、掌握最新的安全保护技术和工具；
4,修订原来的安全策略，引进必要的安全工具。
由于各个网站安全需求不同，遭受攻击的几率和手段不尽相同，
因此系统的安全工作要结合系统本身特点来进行。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 43
4.3.4 意外事件的处理
无论多么安全的站点，都可能被破坏，包括前面提到的“电子安全领域最值得信赖的名字” ——以网络技术安全著称的美国 RSA
安全实验室站点 www.rsa.com,照样遭到黑客的攻击。所以，即使被攻击了，也要沉着处理意外事件的后续事情。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 44
第 4节 Web浏览器安全
– 如果所有的网络用户都能够安分的使用网络这个美好的工具，那么 Web浏览器用户就没有什么可以担忧的了，但是，非常不幸共同是，网络世界是良莠不齐的，是复杂多样的，可能随时会受到恶意的攻击甚至被毁坏。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 45
4.4.1 浏览器自动引发的应用
1,PostScript文件
2,配置 /bin/csh作为查看器
3.Javal Applet的安全性
4.JavaScript 的安全性
5,ActiveX的安全性
6.安全对策
2009年 8月 20日星期四
12时 4分 47秒
Web安全 46
1,PostScript文件。
该文件命令丰富，如显示 PostScript文件的 Ghostview，
不仅能够显示简单文本，而且包含了丰富的文件系统命令。 PostScript中的 open,create,copy,delete等命令都可能用于对用户的不利的目的，甚至还可能引入计算机病毒，感染用户信息系统。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 47
2,配置 /bin/csh作为查看器
用户在浏览器中如果配置 /bin/csh作为 application/x-csh
类型文档的查看器，就可能带来一定的安全威胁。
许多高端字处理器有一个内嵌式宏处理的功能。误用字处理宏的一个例子是 Microsoft Word的“宏病毒”，
它具有像病毒义演的蔓延的能力。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 48
3.Javal Applet的安全性
Java是一种可以形成小程序嵌入 HTML的语言。 Javal Applet在刚开始，减少了 Applet 偷看用户的私有文档并把它传回服务器的可能。但是在发行后很短的时间内，就发现了很多 bug引起的安全漏洞,
– （ 1） 它具有任意执行机器指令的能力，是一个 bug；
– （ 2） 对拒绝服务攻击的脆弱性。它抢占系统资源，比如抢占内存，
抢占 CPU时间等。
– （ 3） 具有跟随意的主机建立连接的能力。这也是一个 BUG。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 49
4.JavaScript 的安全性
尽管 Java 和 JavaScript 很相似，但是，它们是两个完全不同的概念。
它也有安全漏洞，通常是破坏用户的隐私。比如，发现已知的
JavaScript的安全漏洞有下面几个：
– （ 1） 能够截取用户的电子邮件地址和其他信息
– （ 2） 截取用户本地机器上的文件。有的如 Microsoft公司，已经发布了相应的补丁程序。
– （ 3） 能够监视用户的会话过程。当然，现在的补丁程序已经发布。
– （ 4） Frame造成的信息泄漏。
– （ 5） 文件上传的漏洞。
当然，尽管漏洞存在，但是，一旦被发现，各个公司相继会推出一些补丁程序，“堵塞”该漏洞，也就是说，不见得所有漏洞总是存在的。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 50
5,ActiveX的安全性
– ActiveX对它的控件能够完成的任务不加限制。反过来，每个
ActiveX控件都能够被它的创造者“签名”，那么被批准发布的控件是否完全可信？控件有没有执行暗中的任务？这就是它的安全性的问题所在。很可能一个你下载的信任的 ActiveX
控件在你的机器上执行了一系列暗中操作，比如将用户计算机的所有配置信息通过局域网传送出去等等。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 51
6.安全对策
通过上面的安全性可以看出,Web浏览器的安全具有很多隐患。所以要有相应的安全对策。在 Microsoft
IE6.0中，选择“工具 ——>Internet 选项 ——>安全 ——
>自定义级别”，可以在此设置浏览器各类脚本的处理如下页图,
2009年 8月 20日星期四
12时 4分 47秒
Web安全 52
在 IE6.0中设置各类脚本的安全性
2009年 8月 20日星期四
12时 4分 47秒
Web安全 53
4.4.2 Web中内嵌的恶意代码
由于某些动态页面以来源不可信的用户输入的数据为参数生成页面，所以 web网页中可能会不经意地包含一些恶意的脚本程序等。如果 web服务器不对此进行处理，
那么很可能对 web服务器和浏览器用户两方面都带来安全威胁。即使采用 SSL来保护传输，也不能阻止这些恶意的代码的传输。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 54
4.4.3 浏览器本身的漏洞
浏览器的功能越来越强大，但是由于程序结构的复杂，在堵住了旧的漏洞的同时，可能又出现了新的漏洞。浏览器的安全漏洞可能让攻击者获取磁盘信息，安全口令，甚至破坏磁盘文件系统等。
下面举出几个已知的浏览器安全漏洞：
2009年 8月 20日星期四
12时 4分 47秒
Web安全 55
4.4.3 浏览器本身的漏洞 (续 )
1,UNIX下的 lynx的一个安全漏洞
– 在 Lynx的 2.7.1版本之前，都存在着漏洞，只要作一个包含 backtick字符的 LynxDownLoad URL，它就允许 Web创建者在用户的机器上执行任意的命令。解决这个问题的方法是升级 lynx的版本 。
2,Microsoft Internet Explorer 的安全漏洞
3,Netscape的安全漏洞
– （ 1）缓冲区溢出漏洞
– （ 2）个人喜好漏洞
– （ 3）类装载器漏洞
– （ 4）长文件名电子邮件漏洞
– （ 5） Singapore隐私漏洞
2009年 8月 20日星期四
12时 4分 47秒
Web安全 56
Microsoft Internet Explorer 的安全漏洞
(1) 缓冲区溢出漏洞
– 在 Microsoft Internet Explorer 4和 4.01以下的版本，存在一系列的编程漏洞。解决的方法就是安装补丁程序或者升级浏览器版本。
(2) 递归 Frames漏洞
– 在 4.x和 5.0版本中存在这个漏洞。可能使得浏览器崩溃导致不能使用。
(3) 快捷方式漏洞
– 这个漏洞在 Microsoft IE 3.01之前的版本存在，现在基本堵上了。
(4) IE5的 ActiveX漏洞
– 通过 IE5的 ActiveX脚本,IE5还允许网络入侵者随意读取浏览器用户的磁盘文件。这个漏洞可以通过 E-Mail来执行，解决的方法是关闭浏览器的 ActiveX功能。
(5) 重定向漏洞
– IE4和 IE5在 WIN95/NT4下，通过该漏洞可以任意的读取浏览者本地硬盘的文件，并可能对 Windows进行欺骗，而且有可能绕过防火墙读取本地文件。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 57
4.4.4 浏览器泄漏的敏感信息
web 服务器大多对每次接受的访问都作相应的记录，并保存到日志文件中。通常包括：
– 来访的 IP地址
– 来访的用户名
– 请求的 URL
– 请求的状态
– 传输的数据的大小。
浏览器在向外传送信息的时候，很可能已经把自己的敏感信息送了出去 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 58
4.4.5 web 欺骗
– 由于 Internet 上 web网页容易拷贝的特点，使得 web欺骗变得很简单。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 59
1,欺骗攻击
所谓欺骗攻击就是指攻击者通过伪造一些容易引起错觉的文字、
音像或者其他场景来诱导受骗者做出错误的与安全有关的决策。
比如，
– 在大街上树立一个绿色的假邮筒，就会有不少人把信扔往里面。
在网络虚拟的世界里，同样存在被骗的受害者。
Web欺骗就是一种网络欺骗，攻击者构建的虚假网站看起来就像真实站点，具有同样的连接，同样的页面，而实际上，被欺骗的所有浏览器用户与这些伪装的页面的交互都受攻击者控制。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 60
2,Web欺骗攻击的原理
Web 欺骗攻击成功的关键在于攻击者的伪服务器必须位于受骗用户到目标 web 服务的必经的路径上。
攻击者首先在某些 web网页上改写所有与目标 web站点有关的联接，
使得不能指向真正的 web服务器，而是指向攻击者的伪服务器。
当用户点击这些联接时，首先指向了伪服务器,
攻击者向真正的服务器索取用户的所需界面。
当获得目标 web送来的页面后，伪服务器改写联接并加入伪装代码，送给被欺骗的浏览器用户。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 61
3,对策
web欺骗攻击的危害大，上当的用户可能会不知不觉泄漏机密信息，还可能受到经济损失。为确保安全，用户可以采取的措施有：
– 尽量避免非有不可的浏览器的 JavaScript,ActiveX和 Java 选项；
– 充分利用浏览器的提示信息；
– 进入 SSL安全联接时，仔细察看站点的证书是否与其所声称的一致，
不要被相似的字符欺骗。
查看正在联接的站点的证书如下页图所示。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 62
在 Microsoft IE 中查联接站点的证书
2009年 8月 20日星期四
12时 4分 47秒
Web安全 63
小结：
本章主要介绍了 web 的安全性，从服务器到浏览器，从需求分析，到具体措施，都简单说明了一下，对于读者建立 web服务器网站有一定的借鉴作用。
12时 4分 47秒
Web安全 1
第四章 web安全知 识 点：
● 服务器安全
● 浏览器安全难 点：
● 服务器安全策略
● 浏览器安全策略内容：
● 服务器安全策略
● 浏览器安全问题
● 服务器安全问题
2009年 8月 20日星期四
12时 4分 47秒
Web安全 2
第 1节 Web技术简介
Web又称 World Wide Web(万维网 )，其基本结构是采用开放式的客户 /服务器结构（ Client/Server），分成服务器端、客户接收端以及传输规程三个部分,
服务器规定传输设定、信息传输格式和服务器本身的开放式结构
客户机统称浏览器，用于向服务器发送资源索取请求，并将接收到的信息进行解码和显示；
通信协议是 Web浏览器与服务器之间进行通讯传输的规范 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 3
4.1.1 HTTP协议
HTTP（ HyperText Transfer Protocol，超文本传输协议）协议是分布式的 Web应用的核心技术协议，在 TCP/IP协议栈中属于应用层。
它定义 Web浏览器向 Web服务器发送索取 Web页面请求格式以及
Web页面在 Internet上的传输方式。
HTTP协议一直在不断的发展和完善。
了解 HTTP的工作过程，可以更好地监测 Web服务器对 Web浏览器的响应，对于 Web的安全管理非常有用。一般情况下,Web服务器在 80端口等候 Web浏览器的请求； Web浏览器通过 3次握手与服务器建立 TCP/IP连接，然后 Web浏览器通过类似如下简单命令向服务器发送索取页面的请求：
– GET/dailynews.html
服务器则以相应的文件为内容响应 Web浏览器的请求。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 4
4.1.2 HTML语言与其他 Web编程语言
Web的特点决定了 Web的内容必须能够以适当的形式来组织和安排，使得它在各种平台上的 Web浏览器上能够得到正确的解释，
并具有丰富层次的界面，如文本、图形图像和连接等应该具有不同的诠释和显示。
HTML（ Hyper Text Markup Language，超文本标识语言）语言的出现解决了页面作者定制网页总体轮廓的问题，用文本语言的方式实现了 Web内容和存储上的统一。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 5
4.1.2 HTML语言与其他 Web编程语言
HTML几乎为所有常见的 Web浏览器所支持。 Web浏览器在得到
Web页面之后，根据 HTML语言的标记来决定页面的层次结构和显示格式，并且可以通过 URL（ Universal Resource Locator）来实现 Web页面的连接和跳转。对用户而言则是透明的。
支持图像、动画和声音等多媒体内容的嵌入，即所谓 HyperMedia。
HTML中可以包括层叠式样表 CSS（ Cascading Style Sheets）。
CSS属于一种式样设计模板（ Design Templates）。它能够帮助用户控制 HTML元素的呈现方式和轮廓，将 HTML的内容制作和式样设计分开。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 6
4.1.3 Web服务器
Internet 上众多的 Web服务器汇集了大量的信息,Web服务器的作用就是管理这些文档，处理用户发来的各种请求，将满足用户要求的信息返回给用户。
本质上来说,Web服务器是驻留在服务器上的一个程序，通过
Web浏览器与用户交互操作，为用户提供兴趣信息。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 7
4.1.4 Web浏览器
Web浏览器是阅读 Web上的信息的客户端的软件。如果用户在本地机器上安装了 Web浏览器软件，就可以读取 Web上的信息了。
Web浏览器在网络上与 Web服务器打交道，从服务器上下载和获取文件。
Web浏览器有多种，他们都可以浏览 Web上的内容，只不过所支持的协议标准以及功能特性各有异同罢了。绝大部分的浏览器都运用了图形用户界面。目前常用的有：
– Netscape Navigator,Netscape Communicator,Microsoft Internet
Explorer,Opera,Mosaic 和 Lynx等等。
Netscape 的浏览器几乎可以在所有的平台上运行，而且具有创意,
Microsoft Internet Explorer则是 Web浏览器市场的霸主。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 8
4.1.5 公共网关接口介绍
CGI，指的是公共网关接口（ Common Gateway Interface ）
是 Web信息服务器与外部应用程序之间交换数据的标准接口。
1．功能
– 收集从 Web浏览器发送给 Web服务器的信息，并且把这些信息传送给外部程序；
– 把外部程序的输出作为 Web服务器对发送信息的 Web浏览器的响应，
发送给该 Web浏览器。
Web服务器真正实现了与 Web浏览器用户之间的交互。比如,：
– 收集用户意见和建议；
– 根据用户要求，从服务器上的数据库中提取相关信息并回传给用户；
– 为用户创建动态的图表。如股票市场的动态走势图等。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 9
4.1.5 公共网关接口介绍
2,CGI的工作原理
在 HTML文件中，表单（ Form）与 CGI程序配合使用，共同来完成信息交流的目的。一般过程是：
（ 1） 用户用 Web浏览器提交表单登录；
（ 2） Web浏览器发送登录请求到 Web服务器；
（ 3） Web服务器分析 Web浏览器送来的数据包，确认是 CGI请求，
于是通过 CGI将表单数据按照一定格式送给相应的 CGI应用程序；
（ 4） CGI应用程序对数据处理，验证，将动态生成的页面发送给
Web服务器；
（ 5） Web服务器把 CGI应用程序东来的页面发送给请求登录的
Web浏览器；
（ 6） Web浏览器接收到，并解释、显示页面。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 10
4.1.5 公共网关接口介绍
3,CGI的与服务器的交互关系
Web浏览器向 Web服务器提交表单数据通常有两种方式：
（ 1） Post方式。 Web服务器通过标准输入方式把数据转交 CGI应用程序。数据处理完毕后，将结果输出到标准输出既可以为 Web
服务器所接收。
（ 2） Get方式。在 UNIX类的系统中,Web服务器通过环境变量来把数据转交 CGI应用程序的。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 11
4.1.5 公共网关接口介绍
4,CGI的替代产品
Web越来越流行，随着市场需求的增大，用于构建强大网站应用程序的工具纷纷出现。如：
– 微软公司的 ASP（ Active Server Pages）
– Allaire公司的 Cold Fusionh
– PHP/FI 等
2009年 8月 20日星期四
12时 4分 47秒
Web安全 12
第 2节 Web的安全需求
Web改变了现代人的生活，为人类带来了前所未有的机遇和挑战。
现代人在感受到它的美好并尽情享受时，也已经开始担忧在虚幻的这种网络世界里，能否保证自己的安全和隐私。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 13
1,Web带来的利益
网络的美丽，网络的绚烂多彩，让人们感受到了 Web的技术的强大，所以网络用户在迅速增大，网络站点在迅速增多。
首先，建立和使用网站不再是什么困难的事情。
– 软件丰富，硬件价格低廉，技术的普及，使得很多人都可以建立和使用网站来处理数据和信息。
Web服务，可以减轻商家的负担，提高用户的满意度,
– 因为它可以节省大量的人力，用户随时可以利用 Web浏览器给商家反馈信息、提出意见和建议，并且可以得到自己的服务；商家则可以利用网络的 Web，使得自己很容易的把服务推广到全球网络覆盖的地方，而不一定必须派专人作为商务代表常驻世界各地。
Web增进了相互合作,
– 传统的人们为了交流，要花费许多时间和金钱，长途跋涉或者等候邮局的包裹信函。通过 Web，团队之间可以互相交流，费用低廉。
随着 Web技术的不断更新和完善，它肯定会推出更加先进的服务。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 14
2,Web带来的忧虑
美国东部时间 1999年 6月 29日 7点 36分，电脑黑客使用了一种为人熟知的软件攻击了美国陆军的主要站点，而且在长达 9个小时的时间里面没有人发现。
2000年 2月 7日到 9日这三天中，包括雅虎公司、亚马逊书店、有线电视新闻网等美国各大公司的网站都受到来历不明的电子攻击；
之后，微软的 3家网站也受到类似的攻击 ……
在一年一度的赌城拉斯维加斯大会开幕的当天，一群自称没钱聚会的黑客黑掉了黑客站点 ……
本周日（ 2000.01.15）早些时候，黑客袭击了以网络安全技术著称的美国 RSA Security Inc的站点 http,//www.rsa.com，篡改了该站点的主页。 RSA安全实验室的市场宣传口号是“电子安全领域最值得信赖的名字”，它的世界商用加密技术、电子钥匙经营以及电子鉴定技术等领域都处于领先地位。
…………
2009年 8月 20日星期四
12时 4分 47秒
Web安全 15
网络不安全 !
信息泄漏
– 攻击者非法访问、获取目标机器（ Web服务器或者浏览器）上的敏感信息；
或者中途截取 Web服务器和浏览器之间传输的敏感信息；或者由于配置、软件等的原因无意泄漏的敏感信息；
拒绝服务
– 该威胁不容易抵御。攻击者的直接目的不在于侵入计算机，而是在短时间内向目标发送大量的正常的请求包并使得目标机器维持相应的连接，或者发送需要目标机器解析的大量无用的数据包。使得目标机器资源耗尽还是应接不暇，根本无法相应正常的服务。
系统崩溃
– 通过 Web篡改、毁坏信息，甚至篡改、删除关键文件，格式磁盘等等使得 Web服务器或者浏览器崩溃。
跳板：
– 这种危险使得非法破坏者常常逍遥法外。攻击者非法侵入目标机器，并以此为基地，进一步攻击其他目标，从而使得这些目标机器成为“替罪羊”，遭受困扰甚至法律处分。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 16
Web为什么会如此的不安全？
原因只有一个：
因为它连接在计算机网络上！
2009年 8月 20日星期四
12时 4分 47秒
Web安全 17
4.2.2 Web安全风险与体系结构
从 Web服务器角度来讲，服务器风险比 Web浏览器用户更大。因为一旦开设了服务器，就必须给众多的客户访问的权力，大多数网民满足于欣赏 Web服务器管理员安排的友好界面和所需资料的获取和使用，但是少数人可能会好奇，“界面的背后是什么？”，
“能否把这个显示的界面改一改？”等等想法都可能导致页面被更换、内容被破坏等等不幸的事情发生。
– 软件开发工程师说“庞大而且复杂的软件程序不能避免出现 bug”；
– 系统安全专家 说“有 bug的软件会使得系统不安全”。
Web服务器序可能存在漏洞，也是 Web系统的安全漏洞。
做到绝对的 Web安全，几乎可以说是不可能的，但是，我们可以尽量避免出现不安全的因素。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 18
1,Web的安全体系结构
Web浏览器软件的安全；
Web服务器上 Web服务器软件的安全；
主机系统的安全；
客户端的局域网；
服务器端的局域网；
Internet。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 19
2,主机系统的安全
主机系统的安全主要是指的浏览器端的计算机设备及其操作系统的安全。攻击者通常通过对主机的访问来获取主机的访问权限，
一旦恶意用户突破了这个机制，就可以完成任意的操作。
通常情况下，口令的不安全，有以下几点：
– 大部分个人计算机无认证系统，根本没有口令与身份认证的概念。
所以,没有认证机制的 PC是 Web服务器的最不安全的平台。
– 非法获取口令，是网络上主机的最大安全威胁。主要有两种途径：
口令破译。
– 它重复的猜测口令并验证，直到口令正确。
口令监听。
– 也是获取口令的一种方法，通过使用网络“监听”技术来获取口令。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 20
3.网络系统的安全
关于网络系统的安全,
– 漏洞
– 平台
– IP安全
– 层间安全
– …...
2009年 8月 20日星期四
12时 4分 47秒
Web安全 21
4,Web应用的安全
了解 Web的安全需求是实现 Web安全的第一步，实现 Web安全，
要从以下三个方面考虑：
– Web服务器的安全需求；
– Web浏览器的安全需求；
– Web传输过程的安全需求 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 22
4.2.3 Web服务器的安全需求
随着开放系统的发展和 Internet的延伸，技术间的交流变得越来越容易 ;
人们也更容易获取功能强大的攻击安全系统的工具软件；
由于人才流动频繁，掌握系统安全情况的有关人员可能会成为无关人员，从而使得系统安全秘密的扩散成为可能。所以,
– 不能靠,不让别人知道,的途径来实现安全
2009年 8月 20日星期四
12时 4分 47秒
Web安全 23
（ 1） 维护公布信息的真实完整
– 是 Web服务器最基本的要求。
– Web服务器在一定程度上是站点拥有者的代言人
（ 2） 维持 Web服务的安全可用
– 要确保用户能够获得 Web服务，防止系统本身可能出现的问题以及他人的恶意的破坏；
– 要确保所提供的服务是可信的，尤其是金融或者电子商务的站点。
（ 3） 保护 Web访问者的隐私
– 用户 IP地址，电子邮件地址，所用计算机名称，单位名称，计算机简单说明，所访问页面内容，访问时间，传输数据量，甚至个人的信用卡号码等信息。
（ 4） 保证 Web服务器不被入侵者作为“跳板”使用
– 是 Web服务器最基本的要求。
Web服务器不能被作为“跳板”来进一步侵入内部网络；
保证 Web服务器不被用作“跳板”来进一步危害其他网络。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 24
4.2.4 Web浏览器的安全需求
Web浏览器,
– 简单实用
– 功能强大
浏览器的用户的安全问题：
– 用户轻点鼠标,——>精彩的网页 ——>浏览器程序已经把某些信息传送给网络上的某一台计算机（可能在世界的另一个角落），浏览器向它索取网页，网页通过网络传到浏览器计算机中，传来的内容，
有的是浏览器用户需要的，能够看到的，但是同时还有浏览器不能显示的内容，悄悄的存入浏览器计算机的硬盘上，这些不显示的内容，可能是协议工作内容，对用户是透明的，但是也可能是恶作剧代码，或者是蓄意破坏的代码，它们会窃取 Web浏览器用户的计算机上的所有可能的隐私，也可能破坏计算机的设备，还可能使得用户在网上冲浪时误入歧途。
因此,Web浏览器的安全也应该注意保障。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 25
用户 Web安全需求
确保运行浏览器的系统不被病毒或者木马或者其他恶意程序侵害而遭受破坏；
确保个人安全信息不外泄；
确保所交互的站点的真实性。以免得被骗，遭受损失。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 26
4.2.5 Web传输的安全需求
保证传输方（信息）的真实性：
– 要求所传输的数据包必须是发送方发出的，而不是他人伪造的；
保证传输信息的完整性：
– 要求所传输的数据包完整无缺，当数据包被删节或被篡改时，有相应的检查办法。
特殊的安全性较高的 Web，需要传输的保密性：
– 敏感信息必须采用加密方式传输，防止被截获而泄密；
认证应用的 Web，需要信息的不可否认性：
– 对于那种身份认证要求较高的 Web应用，必须有识别发送信息是否为发送方所发的方法；
对于防伪要求较高的 Web应用，保证信息的不可重用性：
– 努力做到信息即使被中途截取，也无法被再次使用。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 27
第 3节 Web服务器安全策略
4.3.1 定制安全政策
4.3.2 认真组织 Web服务器
4.3.3 跟踪最新安全指南
4.3.4 意外事件的处理
2009年 8月 20日星期四
12时 4分 47秒
Web安全 28
4.3.1 定制安全政策
1,定义安全资源，进行重要等级划分
2,进行安全风险评估
3,制定安全策略的基本原则
4,建立安全培训制度
5,具有意外事件处理措施
2009年 8月 20日星期四
12时 4分 47秒
Web安全 29
4.3.2 认真组织 Web服务器
服务器的安全策略，有很多内容，
简单说明几个必须的内容,
2009年 8月 20日星期四
12时 4分 47秒
Web安全 30
1,认真选择 Web服务器设备和相关软件
对于 Web服务器，最显著的性能要求是响应时间和吞吐率。其中，典型的功能包括：
– 提供静态页面和多种动态页面的能力；
– 接受和处理用户信息的能力；
– 提供站点搜索服务的能力；
– 远程管理的能力。
而典型的安全方面的要求包括：
– 在已知的 Web服务器漏洞中，针对该类型的最少；
– 对服务器的管理操作只能由授权用户执行；
– 拒绝通过 Web访问不公开的信息；
– 能够禁止内嵌的不必要的网络服务；
– 能够控制各种形式的可执行程序的访问；
– 能对某些 Web操作进行日志记录，便于执行入侵监测和入侵企图分析；
– 能够具有一定的容错性 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 31
2,仔细配置 Web服务器
（ 1） 将 Web服务器与内部网络分隔开来
（ 2） 维护安全的 Web站点的拷贝
（ 3） 合理配置主机系统
（ 4） 合理配置 Web服务器软件
2009年 8月 20日星期四
12时 4分 47秒
Web安全 32
（ 1） 将 Web服务器与内部网络分隔开来
Web服务器被入侵的时候，可能的危害有：
– Web服务器系统被破坏甚至崩溃；
– 入侵者收集敏感信息，如用户名，口令等；
– 入侵者借助入侵的服务器为基础，进一步破坏其他网络。
所以，为了避免上述情况，我们应当把 Web服务器隔离开来，可以采用：
– 使用智能 HUB或者二层交换机隔离；
– 所有内部网络的交换信息都采用加密方式；
– 使用防火墙包过滤功能将 Web服务器和内部网络隔离；
– 使用带有防火墙功能的三、四层交换机。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 33
（ 2） 维护安全的 Web站点的拷贝
备份系统是系统管理员的法宝。所以，一般情况下，
Web服务器都采用多台备份机器在服务。但是要保证两点：
– 首先，备份的内容是真实可靠的；
– 其次，备份存储的地方是非常可靠的，安全的。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 34
（ 3） 合理配置主机系统
主机的操作系统是 Web的直接支撑者，合理地配置主机系统，能够为 Web服务器提供强健的安全支持。可以从两个方面考虑：
①仅仅提供必要的服务
– 配置软件简单，只需考虑一种 Web服务；
– 管理人员单一，便于管理；
– 用户访问方式单一，便于管理；
– 访问日志文件较少，便于审计；
– 避免多种服务之间的故障冲突。
②选择使用必要的辅助工具
选择辅助工具，简化主机安全管理,
– UNIX系统的 tcp_wrapper 工具，对系统起到一定的安全保护作用。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 35
（ 4） 合理配置 Web服务器软件
① 在设置 Web服务器访问控制规则的时候，要注意一些事项，
Web服务器一般提供如下几种类型的访问控制方法：
– 通过 IP地址、子网域名来控制。这种方法要尽量避免,欺骗”。
– 通过用户名 /口令限制控制访问。这种方法要尽量避免口令被窃取。
– 通过公用密钥加密的方法控制访问。
②对于 Web服务器的有关目录必须设置权限。具体设置在此不详细描述。
③谨慎使用安全性比较脆弱的 Web服务器功能，比如，自动目录列表功能，符号连接功能，用户维护目录功能，等等。
④把服务限制在有限的文件空间范围内。
⑤配置好 Web服务器的管理功能。尽量禁止远程管理等功能。
⑥要记录 Web服务器的安全状态信息。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 36
3,谨慎组织 Web服务器的相关内容
Web服务器的相关内容必须谨慎组织，以保证网站的信誉。其内容主要包括以下几个方面：
– （ 1） 联接检查，检查源程序，察看联接 URL和相应的内容是否图文一致，察看 URL所提供的内容是否和网页的描述一致；
– （ 2） CGI程序检测，防止非法用户的恶意使用 CGI程序，造成破坏。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 37
4,安全管理 Web服务器
Web服务器的安全管理不是一劳永逸的，需要认真维护。
（ 1） 更新 Web服务器内容尽量采用安全方式，比如，尽可能的避免网络更新，而是采用本地方式；
（ 2） 经常审查有关日志记录。按照 HTTP协议的规定 ;
（ 3） 进行必要的数据备份 ;
（ 4） 定期对 Web服务器进行安全检查。
（ 5）使用 辅助工具。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 38
常用的 Web服务器响应代码有：
– 200：用户请求被正确响应；
– 302,URL被重定向到其他文件；
– 400：用户请求有错误；
– 401：所访问的文件要求进行身份认证；
– 403：所请求的文件被禁止访问；
– 404：所请求的文件没找到；
– 500：服务器内部错误；
– 501,Web服务器没安装所请求的应用方法；
– 503：服务器资源不足 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 39
（ 3） 进行必要的数据备份。
– 备份是对付任何意外事故的保留方法，是系统的最后的安全防线。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 40
（ 4） 定期对 Web服务器进行安全检查。
安全检查的目的有两个：
– 及时发现 Web服务器系统的安全缺陷；
– 及时发现入侵踪迹。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 41
（ 5） 辅助工具
SSH，是一个网络远程登录的工具，在认证机制和加密传输的基础上提供执行命令，拷贝文件等功能，可以防止 IP欺骗,DNS欺骗等。
免费的运行于 UNIX系统的 Tripe Wire，能够帮助管理员发现被非法篡改的文件。
入侵检测工具，如 SATAN；
日志审计工具，如 Analog。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 42
4.3.3 跟踪最新安全指南
1,及时更新系统软件和应用软件的版本，避免已存在漏洞的仍旧使用；
2,了解最新发现的安全漏洞和新的攻击工具的特点，以便做好预防；
3,了解、掌握最新的安全保护技术和工具；
4,修订原来的安全策略，引进必要的安全工具。
由于各个网站安全需求不同，遭受攻击的几率和手段不尽相同，
因此系统的安全工作要结合系统本身特点来进行。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 43
4.3.4 意外事件的处理
无论多么安全的站点，都可能被破坏，包括前面提到的“电子安全领域最值得信赖的名字” ——以网络技术安全著称的美国 RSA
安全实验室站点 www.rsa.com,照样遭到黑客的攻击。所以，即使被攻击了，也要沉着处理意外事件的后续事情。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 44
第 4节 Web浏览器安全
– 如果所有的网络用户都能够安分的使用网络这个美好的工具，那么 Web浏览器用户就没有什么可以担忧的了，但是，非常不幸共同是，网络世界是良莠不齐的，是复杂多样的，可能随时会受到恶意的攻击甚至被毁坏。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 45
4.4.1 浏览器自动引发的应用
1,PostScript文件
2,配置 /bin/csh作为查看器
3.Javal Applet的安全性
4.JavaScript 的安全性
5,ActiveX的安全性
6.安全对策
2009年 8月 20日星期四
12时 4分 47秒
Web安全 46
1,PostScript文件。
该文件命令丰富，如显示 PostScript文件的 Ghostview，
不仅能够显示简单文本，而且包含了丰富的文件系统命令。 PostScript中的 open,create,copy,delete等命令都可能用于对用户的不利的目的，甚至还可能引入计算机病毒，感染用户信息系统。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 47
2,配置 /bin/csh作为查看器
用户在浏览器中如果配置 /bin/csh作为 application/x-csh
类型文档的查看器，就可能带来一定的安全威胁。
许多高端字处理器有一个内嵌式宏处理的功能。误用字处理宏的一个例子是 Microsoft Word的“宏病毒”，
它具有像病毒义演的蔓延的能力。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 48
3.Javal Applet的安全性
Java是一种可以形成小程序嵌入 HTML的语言。 Javal Applet在刚开始，减少了 Applet 偷看用户的私有文档并把它传回服务器的可能。但是在发行后很短的时间内，就发现了很多 bug引起的安全漏洞,
– （ 1） 它具有任意执行机器指令的能力，是一个 bug；
– （ 2） 对拒绝服务攻击的脆弱性。它抢占系统资源，比如抢占内存，
抢占 CPU时间等。
– （ 3） 具有跟随意的主机建立连接的能力。这也是一个 BUG。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 49
4.JavaScript 的安全性
尽管 Java 和 JavaScript 很相似，但是，它们是两个完全不同的概念。
它也有安全漏洞，通常是破坏用户的隐私。比如，发现已知的
JavaScript的安全漏洞有下面几个：
– （ 1） 能够截取用户的电子邮件地址和其他信息
– （ 2） 截取用户本地机器上的文件。有的如 Microsoft公司，已经发布了相应的补丁程序。
– （ 3） 能够监视用户的会话过程。当然，现在的补丁程序已经发布。
– （ 4） Frame造成的信息泄漏。
– （ 5） 文件上传的漏洞。
当然，尽管漏洞存在，但是，一旦被发现，各个公司相继会推出一些补丁程序，“堵塞”该漏洞，也就是说，不见得所有漏洞总是存在的。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 50
5,ActiveX的安全性
– ActiveX对它的控件能够完成的任务不加限制。反过来，每个
ActiveX控件都能够被它的创造者“签名”，那么被批准发布的控件是否完全可信？控件有没有执行暗中的任务？这就是它的安全性的问题所在。很可能一个你下载的信任的 ActiveX
控件在你的机器上执行了一系列暗中操作，比如将用户计算机的所有配置信息通过局域网传送出去等等。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 51
6.安全对策
通过上面的安全性可以看出,Web浏览器的安全具有很多隐患。所以要有相应的安全对策。在 Microsoft
IE6.0中，选择“工具 ——>Internet 选项 ——>安全 ——
>自定义级别”，可以在此设置浏览器各类脚本的处理如下页图,
2009年 8月 20日星期四
12时 4分 47秒
Web安全 52
在 IE6.0中设置各类脚本的安全性
2009年 8月 20日星期四
12时 4分 47秒
Web安全 53
4.4.2 Web中内嵌的恶意代码
由于某些动态页面以来源不可信的用户输入的数据为参数生成页面，所以 web网页中可能会不经意地包含一些恶意的脚本程序等。如果 web服务器不对此进行处理，
那么很可能对 web服务器和浏览器用户两方面都带来安全威胁。即使采用 SSL来保护传输，也不能阻止这些恶意的代码的传输。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 54
4.4.3 浏览器本身的漏洞
浏览器的功能越来越强大，但是由于程序结构的复杂，在堵住了旧的漏洞的同时，可能又出现了新的漏洞。浏览器的安全漏洞可能让攻击者获取磁盘信息，安全口令，甚至破坏磁盘文件系统等。
下面举出几个已知的浏览器安全漏洞：
2009年 8月 20日星期四
12时 4分 47秒
Web安全 55
4.4.3 浏览器本身的漏洞 (续 )
1,UNIX下的 lynx的一个安全漏洞
– 在 Lynx的 2.7.1版本之前，都存在着漏洞，只要作一个包含 backtick字符的 LynxDownLoad URL，它就允许 Web创建者在用户的机器上执行任意的命令。解决这个问题的方法是升级 lynx的版本 。
2,Microsoft Internet Explorer 的安全漏洞
3,Netscape的安全漏洞
– （ 1）缓冲区溢出漏洞
– （ 2）个人喜好漏洞
– （ 3）类装载器漏洞
– （ 4）长文件名电子邮件漏洞
– （ 5） Singapore隐私漏洞
2009年 8月 20日星期四
12时 4分 47秒
Web安全 56
Microsoft Internet Explorer 的安全漏洞
(1) 缓冲区溢出漏洞
– 在 Microsoft Internet Explorer 4和 4.01以下的版本，存在一系列的编程漏洞。解决的方法就是安装补丁程序或者升级浏览器版本。
(2) 递归 Frames漏洞
– 在 4.x和 5.0版本中存在这个漏洞。可能使得浏览器崩溃导致不能使用。
(3) 快捷方式漏洞
– 这个漏洞在 Microsoft IE 3.01之前的版本存在，现在基本堵上了。
(4) IE5的 ActiveX漏洞
– 通过 IE5的 ActiveX脚本,IE5还允许网络入侵者随意读取浏览器用户的磁盘文件。这个漏洞可以通过 E-Mail来执行，解决的方法是关闭浏览器的 ActiveX功能。
(5) 重定向漏洞
– IE4和 IE5在 WIN95/NT4下，通过该漏洞可以任意的读取浏览者本地硬盘的文件，并可能对 Windows进行欺骗，而且有可能绕过防火墙读取本地文件。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 57
4.4.4 浏览器泄漏的敏感信息
web 服务器大多对每次接受的访问都作相应的记录，并保存到日志文件中。通常包括：
– 来访的 IP地址
– 来访的用户名
– 请求的 URL
– 请求的状态
– 传输的数据的大小。
浏览器在向外传送信息的时候，很可能已经把自己的敏感信息送了出去 。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 58
4.4.5 web 欺骗
– 由于 Internet 上 web网页容易拷贝的特点，使得 web欺骗变得很简单。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 59
1,欺骗攻击
所谓欺骗攻击就是指攻击者通过伪造一些容易引起错觉的文字、
音像或者其他场景来诱导受骗者做出错误的与安全有关的决策。
比如，
– 在大街上树立一个绿色的假邮筒，就会有不少人把信扔往里面。
在网络虚拟的世界里，同样存在被骗的受害者。
Web欺骗就是一种网络欺骗，攻击者构建的虚假网站看起来就像真实站点，具有同样的连接，同样的页面，而实际上，被欺骗的所有浏览器用户与这些伪装的页面的交互都受攻击者控制。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 60
2,Web欺骗攻击的原理
Web 欺骗攻击成功的关键在于攻击者的伪服务器必须位于受骗用户到目标 web 服务的必经的路径上。
攻击者首先在某些 web网页上改写所有与目标 web站点有关的联接，
使得不能指向真正的 web服务器，而是指向攻击者的伪服务器。
当用户点击这些联接时，首先指向了伪服务器,
攻击者向真正的服务器索取用户的所需界面。
当获得目标 web送来的页面后，伪服务器改写联接并加入伪装代码，送给被欺骗的浏览器用户。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 61
3,对策
web欺骗攻击的危害大，上当的用户可能会不知不觉泄漏机密信息，还可能受到经济损失。为确保安全，用户可以采取的措施有：
– 尽量避免非有不可的浏览器的 JavaScript,ActiveX和 Java 选项；
– 充分利用浏览器的提示信息；
– 进入 SSL安全联接时，仔细察看站点的证书是否与其所声称的一致，
不要被相似的字符欺骗。
查看正在联接的站点的证书如下页图所示。
2009年 8月 20日星期四
12时 4分 47秒
Web安全 62
在 Microsoft IE 中查联接站点的证书
2009年 8月 20日星期四
12时 4分 47秒
Web安全 63
小结：
本章主要介绍了 web 的安全性，从服务器到浏览器，从需求分析，到具体措施，都简单说明了一下，对于读者建立 web服务器网站有一定的借鉴作用。
