Web服务器需要警惕的安全隐患是什么?
当前位置:以往代写 > 网页教程 >Web服务器需要警惕的安全隐患是什么?
2019-06-14

Web服务器需要警惕的安全隐患是什么?

Web服务器需要警惕的安全隐患是什么?

  说到web业务系统,很多人会下意识的认为Web业务系统 = 网站,但实际上,我们通常所说的Web业务系统指的是利用各种动态Web技术开发的基于B/S(浏览器服务器)模式的事务处理系统。比如:ERP系统、CRM系统以及常见的网站系统(如电子政务网站、企业网站等)都是Web业务系统。这些Web业务系统,都会遭受Web威胁的影响。
Web服务器需要警惕的安全隐患是什么?_Web服务器_网络安全_网络工程师_课课家

  安全隐患有很多,常见的不外乎这几种,熟悉了解了就知道怎么规避风险。Web服务器存在的主要漏洞包括物理路径泄露,CGI源代码泄露,目录遍历,执行任意命令,缓冲区溢出,拒绝服务,SQL注入,条件竞争和跨站脚本执行漏洞,和CGI漏洞有些相似的地方,但是更多的地方还是有着本质的不同。不过无论是什么漏洞,都体现着安全是一个整体的真理,考虑Web服务器的安全性,必须要考虑到与之相配合的操作系统。

  物理路径泄露
  物理路径泄露一般是由于Web服务器处理用户请求出错导致的,如通过提交一个超长的请求,或者是某个精心构造的特殊请求,或是请求一个Web服务器上不存在的文件。这些请求都有一个共同特点,那就是被请求的文件肯定属于CGI脚本,而不是静态HTML页面。
  还有一种情况,就是Web服务器的某些显示环境变量的程序错误的输出了Web服务器的物理路径,这应该算是设计上的问题。
  目录遍历
  目录遍历对于Web服务器来说并不多见,通过对任意目录附加“../”,或者是在有特殊意义的目录附加“../”,或者是附加“../”的一些变形,             如“..\\”或“..//”甚至其编码,都可能导致目录遍历。前一种情况并不多见,但是后面的几种情况就常见得多,以前非常流行的IIS二次解码漏洞和Unicode解码漏洞都可以看作是变形后的编码。
  执行任意命令
  执行任意命令即执行任意操作系统命令,主要包括两种情况。一是通过遍历目录,如前面提到的二次解码和UNICODE解码漏洞,来执行系统命令。另外一种就是Web服务器把用户提交的请求作为SSI指令解析,因此导致执行任意命令。
  缓冲区溢出
  缓冲区溢出漏洞想必大家都很熟悉,无非是Web服务器没有对用户提交的超长请求没有进行合适的处理,这种请求可能包括超长URL,超长HTTP Header域,或者是其它超长的数据。这种漏洞可能导致执行任意命令或者是拒绝服务,这一般取决于构造的数据。
  拒绝服务
  拒绝服务产生的原因多种多样,主要包括超长URL,特殊目录,超长HTTP Header域,畸形HTTP Header域或者是DOS设备文件等。由于Web服务器在处理这些特殊请求时不知所措或者是处理方式不当,因此出错终止或挂起。
  SQL注入
  简介
  SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,比如很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的,这类表单特别容易受到SQL注入式攻击。SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,比如很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的,这类表单特别容易受到SQL注入式攻击。SQL注入攻击是黑客对数据库进行攻击的常用手段之一。

      原理
  SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序,而这些输入大都是SQL语法里的一些组合,通过执行SQL语句进而执行攻击者所要的操作,其主要原因是程序没有细致地过滤用户输入的数据,致使非法数据侵入系统。
  根据相关技术原理,SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致;后者主要是由于程序员对输入未进行细致地过滤,从而执行了非法的数据查询。基于此,SQL注入的产生原因通常表现在以下几方面:①不当的类型处理;②不安全的数据库配置;③不合理的查询集处理;④不当的错误处理;⑤转义字符处理不合适;⑥多个提交处理不当。
  SQL注入的漏洞在编程过程造成的。后台数据库允许动态SQL语句的执行。前台应用程序没有对用户输入的数据或者页面提交的信息(如POST, GET)进行必要的安全检查。数据库自身的特性造成的,与web程序的编程语言的无关。几乎所有的关系数据库系统和相应的SQL语言都面临SQL注入的潜在威胁 。
  条件竞争
  这里的条件竞争主要针对一些管理服务器而言,这类服务器一般是以System或Root身份运行的。当它们需要使用一些临时文件,而在对这些文件进行写操作之前,却没有对文件的属性进行检查,一般可能导致重要系统文件被重写,甚至获得系统控制权。
  CGI漏洞
  通过CGI脚本存在的安全漏洞,比如暴露敏感信息、缺省提供的某些正常服务未关闭、利用某些服务漏洞执行命令、应用程序存在远程溢出、非通用CGI程序的编程漏洞。
说到Web业务系统,很多人会下意识的认为Web业务系统 = 网站,但实际上,我们通常所说的Web业务系统指的是利用各种动态Web技术开发的基于B/S(浏览器服务器)模式的事务处理系统。比如:ERP系统、CRM系统以及常见的网站系统(如电子政务网站、企业网站等)都是Web业务系统。这些Web业务系统,都会遭受Web威胁的影响。

#p#分页标题#e#

  而会威胁到Web业务安全的因素又包括哪些方面呢?在日常工作中,我们会遇到哪些Web安全隐患呢?
  第一个方面:操作系统和后台数据库可能会存在漏洞或配置不当,如弱口令等等,导致骇客、病毒可以利用这些缺陷进行攻击。
  第二个方面:Web业务常用的发布系统,如IIS、Apache等,这些系统存在的安全漏洞,给入侵者可乘之机。
  第三个方面:主要指Web应用程序的编写人员,在编程的过程中没有考虑到安全的问题,使得骇客能够利用这些漏洞发起攻击,比如SQL注入、跨站脚本攻击等等。
  第四个方面:Web应用系统服务器所处的网络安全状况也影响着Web应用系统的安全,比如网络中存在的DoS攻击等,也会影响到这些Web应用系统的正常运营。

      上述文章内容概要地对Web应用系统存在的安全风险进行分析,当然还有更多的其它安全漏洞。小编提醒基于web应用交易的企业用户,建议寻求专业的安全服务团队或机构对web应用的站点进行风险评估,以减少web应用系统的风险。
    文章基本概括了Web业务系统的威胁来源,在考虑完整Web安全解决方案的时候,必须要全盘考虑这几个方面。更多内容,就在课课家教育,我们期待您的咨询!

    关键字:

在线提交作业