網(wǎng)站安全評估文檔（一）二十一世紀是網(wǎng)絡(luò)的時代，網(wǎng)絡(luò)已跟我們的生活息息相關(guān)。而網(wǎng)站通過網(wǎng)絡(luò)這個樞紐密切的聯(lián)系著人們的日常生活，人們也通過各種各樣的網(wǎng)站獲取所需要的信息。因此，網(wǎng)站的安全也越來越被人們所重

網(wǎng)站安全評估文檔（一）

二十一世紀是網(wǎng)絡(luò)的時代，網(wǎng)絡(luò)已跟我們的生活息息相關(guān)。而網(wǎng)站通過網(wǎng)絡(luò)這個樞紐密切的聯(lián)系著人們的日常生活，人們也通過各種各樣的網(wǎng)站獲取所需要的信息。因此，網(wǎng)站的安全也越來越被人們所重視。然而網(wǎng)絡(luò)存在著各種各樣的安全隱患，比如：COOKIE 中毒，應(yīng)用程序緩沖溢出，跨站腳本攻擊，已知安全漏洞，強行瀏覽問題，參數(shù)篡改攻擊等等，無時無刻不讓使用者提心吊膽。

也許有的人說，我的系統(tǒng)是有防火墻保護的。防火墻是有訪問過濾機制，但是還是無法應(yīng)對許多惡意行為。雖然它可以設(shè)置訪客名單，可以把惡意訪問排除在外，但是如何鑒別惡意還是善意訪問還是個問題。訪問如果一旦被允許，后面的安全問題就不是防火墻能夠解決的了。又比如，人們往往認為，網(wǎng)站使用了SSL 加密就很安全了，網(wǎng)站起用SSL 加密后，表明網(wǎng)站發(fā)送和接受的信息都經(jīng)過了加密處理，但是SSL 無法保障存儲在網(wǎng)站里面的信息的安全。還有就是認為漏洞掃描工具沒有發(fā)現(xiàn)任何問題網(wǎng)站就很安全。漏洞工具生成一些特殊的訪問請求，發(fā)送給網(wǎng)站，在獲取網(wǎng)站的響應(yīng)信息后進行分析。但是它能夠查找一些明顯的網(wǎng)絡(luò)安全漏洞，但是卻沒有辦法對網(wǎng)站的應(yīng)用程序進行檢測，更別說查找程序中的漏洞了。因此，要使網(wǎng)站安全并不是只做表面的保護就可以高枕無憂了。國內(nèi)的網(wǎng)站一般都采用ASP ACCESS或者SQL 的數(shù)據(jù)庫后臺，所以SQL 注入就成了網(wǎng)站攻擊最常見的一種方法。SQL 注入是從正常的WWW 端口訪問，表面上看和一般的WEB 頁面訪問沒什么區(qū)別，所以防火墻都不會對SQL 注入發(fā)出警報，如果管理員沒有看IIS 日志的習(xí)慣，可能被入侵了還不會發(fā)覺。在判斷出可以SQL 注入后，就可以通過工具（比如啊D SQL TOOLS ）猜他的數(shù)據(jù)庫名之類的信息了。當然，也可以用抓包的方法來獲取網(wǎng)站的相關(guān)信息。

現(xiàn)在，，許多黑客甚至可以突破SSL 加密和各種防火墻，攻入WEB 網(wǎng)站的內(nèi)部獲取信息。他們可以僅借瀏覽器和幾個技巧，既套取WEB 網(wǎng)站的保密信息。一旦你的網(wǎng)站遭受了惡意攻擊，那連哭都來不及了。

因此提高網(wǎng)站的安全性，已成為迫在眉睫的問題了。下面就從三個方面來分析相關(guān)的安全問題。

一、硬件環(huán)節(jié)。

從硬件的角度來提高網(wǎng)站的安全性有很多中辦法，例如：不允許局域網(wǎng)內(nèi)部私自介入外網(wǎng)，采用隔離網(wǎng)閘和放火墻，不允許接入層交換機直接連接到核心服務(wù)器等手段，都是從硬件的角度來提高網(wǎng)絡(luò)的安全性的。在很長一段時間內(nèi)，一提到網(wǎng)絡(luò)安全人們所想到的都是軟件漏洞。但隨著技術(shù)和市場的發(fā)展，硬件安全正逐漸走入人們的視野。 以硬件為主的安全系統(tǒng)將比采用安全防護軟件更不容易受到黑客入侵。若軟件和硬件安全系統(tǒng)同使用，將使電腦使用者的資料獲得更好的保護。在圈內(nèi)，微軟近日除了炫耀Longhorn 操作系統(tǒng)之外，還首次展示了受到密切關(guān)注的新一代安全計算基準(NGSCB)的安全技術(shù)代碼，這一技術(shù)先前被稱為“Palladium”。NGSCB 是在一臺PC 內(nèi) 部創(chuàng)建第二種操作環(huán)境的硬件和軟件的總合，這一環(huán)境旨在保護系統(tǒng)免遭惡意代碼入侵。作為這一保護的一部分，NGSCB 可以提供應(yīng)用程序、附帶硬件、內(nèi)存以 及存儲器之間安全的連接。在Palladium 構(gòu)想中，把用于認證和加密的密鑰基本信息作為硬件預(yù)先嵌入個人電腦。購買支持Palladium 的個人電腦 時，個人電腦獨有的加密密鑰就會被寫入到這枚硬件芯片上。通過這個加密密鑰，支持Palladium 的OS 可對運行于其上的程序進行認證， 并

加密保存機密 數(shù)據(jù)。具體而言，也就是說支持Palladium 的OS 將會設(shè)置一個只有已經(jīng)得到認證的程序才可以訪問的保護區(qū)域。而保存在保護區(qū)域中的數(shù)據(jù)都是經(jīng)過加密 的，即使被拷貝到其他電腦上，也無法還原。據(jù)稱微軟Palladium 的第一個版本將僅供編寫特定的商務(wù)應(yīng)用程序而非消費軟件。從上面的分析可以看出，Palladium 的應(yīng)用必須得到第三方的支持。在硬件方面，微軟早于2002年9月份就開始分別與英特爾和AMD 聯(lián)合制定支持Palladium 的硬件規(guī)格，此次AMD 和英特爾推出支持Palladium 的新產(chǎn)品正是合作的結(jié)果。預(yù)計，在今后的幾年中，硬件安全的問題會越來越受到人們的重視。

二、操作系統(tǒng)漏洞來考慮

操作系統(tǒng)是計算機的靈魂，沒有它的存在，我們現(xiàn)在可能還在不停的在煩人0101二進制編碼中受苦。它給了我們友好的用戶界面，讓我們更容易的和計算機溝通。但是它也有很多缺陷。目前比較流行的操作系統(tǒng)，windows ，linux ，solaris 等，都或多或少的存在著安全問題。

網(wǎng)站是基于計算機網(wǎng)絡(luò)的，而計算機運行又是少不了操作系統(tǒng)的。操作系統(tǒng)的漏洞會直接影響到網(wǎng)站的安全。我們就以比較有名的IIS 漏洞來說明操作系統(tǒng)和網(wǎng)站安全的聯(lián)系。早在2004年，微軟公司檢測到一種木馬程序，該程序可利用微軟ＩＩＳ服務(wù)器操作系統(tǒng)的3個安全漏洞攻擊網(wǎng)站。微軟公司說，該公司今年4月?lián)碛辛酸槍ζ渲袃蓚€安全漏洞的補丁程序，但還沒有設(shè)計出針對另一個安全漏洞的補丁。專家稱，黑客用它攻破互聯(lián)網(wǎng)站后，會對網(wǎng)站服務(wù)器操作程序做出修改，向訪問網(wǎng)站的客戶端計算機傳輸一段程序代碼，用于記錄客戶端計算機的鍵盤輸入情況，并把結(jié)果返回給攻擊者。這種木馬程序通常用于盜取計算機用戶的信用卡號、銀行賬戶和密碼等資料。美國計算機緊急預(yù)備小 組已在互聯(lián)網(wǎng)上發(fā)布警告要用戶注意，“任何網(wǎng)站都可能受到影響??深受用戶信任的網(wǎng)站也不例外?！?/p>

對于操作系統(tǒng)本身而言，文件的系統(tǒng)也應(yīng)該采用安全級別較高的，比如NTFS 。NTFS 文件系統(tǒng)最大的特點就是安全性，在NTFS 分區(qū)上，可以支持隨機訪問控制和擁有權(quán)，對共享文件可以指定權(quán)限，以免受到本地訪問或遠程訪問的影響。NTFS 對于在計算機上存儲文件夾或者耽擱文件，都可以指定相應(yīng)的權(quán)限，使每個用戶只能照系統(tǒng)給予的權(quán)限進行操作，充分保護系統(tǒng)和數(shù)據(jù)的安全性。同時，恰當?shù)呐渲肳EB 服務(wù)器，只保留必要的服務(wù)的服務(wù)，刪除和關(guān)閉沒有用的或不需要的服務(wù)。因為啟動不必要的服務(wù)可能使他人獲得本機的系統(tǒng)信息，甚至獲取密碼文件。在對服務(wù)器進行管理時，應(yīng)該避免使用TELENT ，F(xiàn)TP 等程序。因為這些程序是以明文形式傳輸密碼，很容易被監(jiān)聽。

一個小小的系統(tǒng)漏洞可能就是讓你系統(tǒng)癱瘓，經(jīng)濟承受毀滅性打擊的導(dǎo)火索。我們應(yīng)該經(jīng)常關(guān)注一些有關(guān)操作系統(tǒng)漏洞的信息，及時給系統(tǒng)打上補丁。別讓你的網(wǎng)站受到不該有的傷害。

三、軟件代碼的安全性

目前由于編程者的水平參次不齊。在應(yīng)用系統(tǒng)中有許多都存在著大量的安全漏洞。就目前國內(nèi)情況來看，由于軟件代碼安全性存在問題而導(dǎo)致網(wǎng)站被黑客攻擊的情況屢屢發(fā)生。以基于ASP 的網(wǎng)站為例，我們知道ASP 的入門門檻比較低，大量的初學(xué)者在很快的時間內(nèi)就可以編寫出與經(jīng)驗豐富的程序員相匹敵的代碼。但是這種匹敵往往僅僅是功

能上的，在安全性方面就差的比較遠了。比如說，有很多網(wǎng)站都沒有對SQL 注入進行屏蔽，給黑客留下了可乘之機。對他們來說只要耐心點就可能會拿到用戶的相關(guān)信息，甚至?xí)?dǎo)致機密文件的外泄。也有的網(wǎng)站采用的數(shù)據(jù)庫系統(tǒng)本身存在安全隱患，這就需要細心的程序員在自己的代碼中來消除這些安全隱患。

在本次的網(wǎng)絡(luò)攻防比賽中，我們就有過利用程序漏洞，來騙過系統(tǒng)，達到非法操作目的的經(jīng)驗。

我們不能保證我們的系統(tǒng)是100安全的，但我們應(yīng)該把我們能夠做到的，作到最好。對網(wǎng)站的安全性要經(jīng)常進行評估，盡量提高系統(tǒng)的安全性。為了自己，為了相信你的用戶們。

網(wǎng)站安全評估文檔（二）

簡介：

隨著互聯(lián)網(wǎng)的盛行，WEB 服務(wù)的逐漸升溫，在INTERNET 上構(gòu)架自己的站點愈來愈熱，與此同時，網(wǎng)站的安全性也越來越受到重視評價一個網(wǎng)站安全與否，要涉及到很多方面。要構(gòu)架一個整體上安全的網(wǎng)站，至少應(yīng)該從如下幾個方面加以考慮：

一：硬件方面

要構(gòu)架一個網(wǎng)絡(luò)，首先根據(jù)實際需求，采用合適的網(wǎng)絡(luò)拓撲結(jié)構(gòu)，仔細分析該網(wǎng)絡(luò)拓撲結(jié)構(gòu)，為以后網(wǎng)絡(luò)的規(guī)劃和管理提供資料，同時也能夠清楚網(wǎng)絡(luò)的優(yōu)缺點和安全性，能夠找出網(wǎng)絡(luò)的安全缺陷和安全問題。

然后根據(jù)自己的情況，明白要向外提供怎樣的服務(wù)，如：WEB 服務(wù)，電子郵件服務(wù)等。要使用防火墻，根據(jù)需求購買相應(yīng)的硬件或軟件防火墻，不允許局域網(wǎng)內(nèi)部私自介入外網(wǎng)，也不允許交換機直接接到核心服務(wù)器的交換機上，所有內(nèi)部和外網(wǎng)的連接均要通過防火墻。還要劃分一個非軍事區(qū)(DMZ)，把外網(wǎng)可以直接訪問的系統(tǒng)（如：WEB 系統(tǒng)，電子郵件系統(tǒng)等）置于DMZ 區(qū)，限制內(nèi)部敏感信息被非法訪問。

最后要設(shè)置備份系統(tǒng)，根據(jù)用戶的網(wǎng)絡(luò)情況，提供骨干交換機、路由器等核心網(wǎng)絡(luò)設(shè)備的備份。備份設(shè)備可以在段時間內(nèi)替代網(wǎng)絡(luò)中實際使用的設(shè)備。這樣，一旦核心設(shè)備出現(xiàn)故障，使用備件替換可以大大減少網(wǎng)絡(luò)故障時間。通過備品備件，快速恢復(fù)網(wǎng)絡(luò)硬件環(huán)境；通過備份文件的復(fù)原，盡快恢復(fù)網(wǎng)絡(luò)的電子資源；由此可在最短的時間內(nèi)恢復(fù)整個網(wǎng)絡(luò)應(yīng)用。

二：系統(tǒng)方面

目前市場上的操作系統(tǒng)以Windows 為主，由于Windows 的普及率和占有市場的比率特別高，因此Windows 一直都是網(wǎng)上黑客的最愛。Windows 從發(fā)行到現(xiàn)在雖然在不斷地升級，但出現(xiàn)的漏洞還是很多。以下簡要介紹下幾種常見漏洞及解決辦法。

Unicode 漏洞

漏洞成因和危害

Unicode 漏洞從中文IIS4.0＋SP6開始，還影響到中文Windows2000＋IIS5.0和中文Windows2000 IIS5.0 SP1。他們利用Unicode 字符（如“..”取代“/”和“”）進行目錄遍歷而訪問到WEB 根目錄以外的文件。

解決方法

（1）到微軟官方網(wǎng)站及時下載補丁。

（2）限制網(wǎng)絡(luò)用戶訪問和調(diào)用CM D 命令的權(quán)限。

（3）若沒有必要是用Scripts 和Msadc 目錄，就將其刪除或更名。

緩沖區(qū)溢出漏洞

漏洞成因和危害

服務(wù)器在安裝IIS 過程中，系統(tǒng)還會安裝幾個ISAPI 擴展.dlls ，其中idq.dll 是Index Server 的一個組件，對管理員腳本和Internet 數(shù)據(jù)查詢提供支持。但是，idq.dll 在一段處理URL 輸入的代碼中存在一個未經(jīng)檢查的緩沖區(qū)，攻擊者利用此漏洞能導(dǎo)致受影響服務(wù)器產(chǎn)生緩沖區(qū)溢出，從而執(zhí)行自己提供的代碼。更為嚴重的是，idq.dll 是以System 身份運行的，攻擊者可以利用此漏洞取得系統(tǒng)管理員權(quán)限。受影響平臺有Windows NT 4.0、Windows 2000、Windows XP beta; 受影響的版本有Microsoft Index Server 2.0、Indexing Service in Windows 2000。沒安裝IIS 的無此漏洞。

解決方法

及時到微軟官方網(wǎng)站下載補丁更新即可。

IIS CGI文件名錯誤解碼漏洞

漏洞成因和危害

IIS 在加載可執(zhí)行CGI 程序時，會進行兩次解碼。第一次解碼是對CGI 文件名進行Http 解碼，然后判斷此文件名是否為可執(zhí)行文件，如檢查后綴名是否為“.exe”或“.com”等。在文件名檢查通過之后，IIS 會進行第二次解碼。正常情況下，應(yīng)該只對該CGI 的參數(shù)進行解碼，然而，當漏洞被攻擊后，IIS 會錯誤地將已經(jīng)解過碼的CGI 文件名和CGI 參數(shù)一起進行解碼。這樣，CGI 文件名就被錯誤地解碼兩次。通過精心構(gòu)造CGI 文件名，攻擊者可以繞過IIS 對文件名所做的安全檢查。在某些條件下，攻擊者可以執(zhí)行任意系統(tǒng)命令。影響平臺：IIS 4.0/5.0(SP6/SP6a沒有安裝)

解決方法

到微軟官網(wǎng)下載補丁更新。

FrontPage 服務(wù)器擴展漏洞

漏洞成因和危害

對于安裝Frontpage 服務(wù)器的網(wǎng)站，通常會在Web 目錄(缺省) 下有若干個以字母“_vti”開頭的目錄，正是這些目錄隱藏了潛在的攻擊性。當用戶在任何常用的搜索引擎上搜索默認的Frontpage 目錄時，會得到大量從引擎上返回的信息，這時，給入侵者一可乘之機，使他

們得以對服務(wù)器進行簡單而又反復(fù)的攻擊。此漏洞可使他們獲得被攻擊方的Frontpage 口令文件、通過Frontpage 擴展名執(zhí)行任意二進制文件，以及通過用_vti_cnf替換index.html ，即入侵者能看到該目錄下的所有文件，并有可能獲得訪問權(quán)限等。

解決方法

對目錄定義許可、移去某些目錄、設(shè)置用戶密碼或不安裝Frontpage 擴展服務(wù)器。

Printer 漏洞

漏洞成因和危害

該漏洞只存在于運行IIS 5.0的Windows 2000服務(wù)器中。由于IIS 5的打印ISAPI 擴展接口建立了.printer 擴展名到Msw3prt.dll 的映射關(guān)系(缺省情況下該映射也存在) ，當遠程用戶提交對.printer 的URL 請求時，IIS 5.0會調(diào)用Msw3prt.dll 解釋該請求，加之Msw3prt.dll 缺乏足夠的緩沖區(qū)邊界檢查，遠程用戶可以提交一個精心構(gòu)造的針對.printer 的URL 請求，其“Host:”域包含大約420B 的數(shù)據(jù)，此時在Msw3prt.dll 中發(fā)生典型的緩沖區(qū)溢出，潛在地允許執(zhí)行任意代碼。在溢出發(fā)生后，Web 服務(wù)會停止用戶響應(yīng)，而Windows 2000將接著自動重啟它，進而使得系統(tǒng)管理員很難檢查到已發(fā)生的攻擊。

解決方法

可通過安裝微軟相應(yīng)漏洞補丁來解決此安全問題。

總之，操作系統(tǒng)的大多數(shù)漏洞都可以通過及時下載補丁，做相應(yīng)的更新即可完成。做好操作系統(tǒng)基本的安全措施后，還需要隊相應(yīng)的權(quán)限做適當?shù)呐渲?，否則再新的系統(tǒng)也是白搭。下面簡要說下權(quán)限的設(shè)置：

權(quán)限設(shè)置的原理

WINDOWS 用戶，在WINNT 系統(tǒng)中大多數(shù)時候把權(quán)限按用戶（組）來劃分。在 控制面板→管理工具→計算機管理→本地用戶和組 管理系統(tǒng)用戶和用戶組。

NTFS 權(quán)限設(shè)置，在分區(qū)的時候把所有的硬盤都分為NTFS 分區(qū)，然后確定每個分區(qū)對每個用戶開放的權(quán)限。文件（夾）上右鍵→屬性→安全在這里管理NTFS 文件（夾）權(quán)限。

IIS 匿名用戶，每個IIS 站點或者虛擬目錄，都可以設(shè)置一個匿名訪問用戶（現(xiàn)在暫且把它叫“IIS 匿名用戶”），當用戶訪問你的網(wǎng)站的.ASP 文件的時候，這個.ASP 文件所具有的權(quán)限，就是這個“IIS 匿名用戶”所具有的權(quán)限。

權(quán)限設(shè)置的思路

要為每個獨立的要保護的個體（比如一個網(wǎng)站或者一個虛擬目錄）創(chuàng)建一個系統(tǒng)用戶，讓這個站點在系統(tǒng)中具有惟一的可以設(shè)置權(quán)限的身份。

在IIS 的 站點屬性或者虛擬目錄屬性→目錄安全性→匿名訪問和驗證控制→編輯→匿名訪問→編輯 填寫剛剛創(chuàng)建的那個用戶名。

設(shè)置所有的分區(qū)禁止這個用戶訪問，而剛才這個站點的主目錄對應(yīng)的那個文件夾設(shè)置允許這個用戶訪問（要去掉繼承父權(quán)限，并且要加上超管組和SYSTEM 組）。

設(shè)置方法

先創(chuàng)建一個用戶組，以后所有的站點的用戶都建在這個組里，然后設(shè)置這個組在各個分區(qū)沒有權(quán)限或者完全拒絕。然后再設(shè)置各個IIS 用戶在各自文件夾中的權(quán)限。這樣，各IIS 用戶就只能有相應(yīng)的權(quán)限訪問相應(yīng)的文件夾，最多也只有IIS 用戶組的最大權(quán)限。

做了以上的配置和設(shè)置后，還應(yīng)當對系統(tǒng)的事件進行審核，可以通過Windows 系統(tǒng)中 本地安全策略→審核策略來完成，根據(jù)需要對系統(tǒng)的某些事件做審核，并配置系統(tǒng)日志，將系統(tǒng)中相應(yīng)事件的操作寫入日志。這樣管理員可以通過查看系統(tǒng)日志了解最近系統(tǒng)的使用情況。同時，通過配置密碼策略和密碼鎖定策略可以減小或消除攻擊者對系統(tǒng)用戶密碼破解的威脅。具體實施可以打開本地安全策略，根據(jù)需要在里面做相關(guān)的設(shè)置。

三：應(yīng)用軟件方面

一個網(wǎng)絡(luò)的安全與否，除了以上的操作外，別的安全產(chǎn)品也不能少，至少應(yīng)使用一些安全產(chǎn)品，如防火墻、反病毒軟件、入侵檢測系統(tǒng)等。

防火墻

防火墻應(yīng)安裝在局域網(wǎng)與路由器之間或Internet 服務(wù)器和托管機房之間。這里防火墻實現(xiàn)單向訪問控制：允許局域網(wǎng)用戶訪問Internet ，但是嚴格限制Internet 用戶對局域網(wǎng)內(nèi)部資源的訪問。用防火墻將局域網(wǎng)劃分為Internet 、DMZ 區(qū)和內(nèi)部訪問區(qū)三個邏輯上的區(qū)域，有利于對局域網(wǎng)的管理。同過配置防火墻的相應(yīng)規(guī)則可以實現(xiàn)端口級的控制，對內(nèi)部網(wǎng)絡(luò)的安全起到了重要的作用。

反病毒軟件

在服務(wù)器和各終端和工作站上應(yīng)配網(wǎng)絡(luò)反病毒軟件，如果需要可專門設(shè)防病毒服務(wù)器。防病毒服務(wù)器通過Internet 及時更新病毒庫，并強制局域網(wǎng)中已開機的終端更新反病毒軟件，記錄局域網(wǎng)中各終端病毒庫的升級情況以及終端上病毒出現(xiàn)的時間、類型以及處理措施。終端及工作站上的反病毒軟件實時監(jiān)控本機對內(nèi)存、文件的讀寫，并根據(jù)預(yù)先定義好的處理方法處理新發(fā)現(xiàn)的病毒文件，同時還對郵件實施監(jiān)控。

入侵檢測系統(tǒng)

在DMZ 區(qū)域和托管機房服務(wù)器區(qū)安裝入侵檢測系統(tǒng)(IDS)。入侵檢測系統(tǒng)作為旁路設(shè)備，監(jiān)控網(wǎng)絡(luò)中的信息，統(tǒng)計并記錄網(wǎng)絡(luò)中異常主機和異常連接，并終端某些已定義好的異常連接，還可想防火墻關(guān)聯(lián)，向防火墻發(fā)出指令，命其在限定的時間內(nèi)，對某個特定的異常終止連接。

四：網(wǎng)站代碼方面

外部工作做好后，網(wǎng)站源程序代碼的安全也對整個網(wǎng)站的安全起到舉足輕重的作用。若代碼漏洞危害嚴重，攻擊者通過相應(yīng)的攻擊很容易拿到系統(tǒng)的最高權(quán)限，那時整個網(wǎng)站也在其掌握之中，因此代碼的安全性至關(guān)重要。目前由于代碼編寫的不嚴謹而引發(fā)的漏洞很多，最為

流行的有：數(shù)據(jù)庫注入漏洞、動網(wǎng)上傳漏洞等。

數(shù)據(jù)庫注入漏洞

原理

程序員在編寫代碼的時候沒有對特殊字符作過濾，攻擊者利用這一點，在客戶端提交特殊的代碼，從而收集程序及服務(wù)器的信息，獲得他想要的資料，對網(wǎng)站進行攻擊。

利用實例

實例1：若某個站點的域名是www.***.com，下面有一個連接，連接地址是www.***.com/classes.asp?id=2，我們在提交的地址后面加上單引號”’”，服務(wù)器會返回以下錯誤信息： Microsoft JET Database Engine 錯誤 80040e14

字符串的語法錯誤 在查詢表達式 ID=2 中。

/classes.asp，行8

從上面的錯誤信息中，我們可以得到以下信息：

1：網(wǎng)站使用的是ACCESS 數(shù)據(jù)庫，并且通過JET 連接數(shù)據(jù)庫。 2：程序沒有判斷客戶端提交的數(shù)據(jù)是否符合程序要求。 3：該SQL 語句查詢的表中有一名為id 的字段。

有了上面的信息我們對網(wǎng)站和后臺就有了一些了解。(注：要得到上面的錯誤信息，需做如下操作：打開 Internet 選項－高級，將顯示友好的HTTP 錯誤前面的勾去掉，否則服務(wù)器端發(fā)生錯誤IE 值返回HTTP500錯誤，得不到更多信息) 。

實例2：

在網(wǎng)站登陸頁面，很多程序員會用如下代碼：

select * from login where user='$user' and pass='$pass'

這樣的代碼極其危險，攻擊者可以進行精心構(gòu)造該語句，使氣為真，達到攻擊的目的。例如用1' or 1='1代替該語句中的$user和$pass，代替后語句變成了：

select * from login where user='1' or 1='1' and pass='1' or 1='1'

顯然該語句是成立的！對于網(wǎng)站的普通用戶登陸界面若用此語句，攻擊者很輕易的就成了網(wǎng)站會員，若管理員登陸頁面用到此語句，而攻擊者有同過別的手段得到了管理員登陸地址的話，攻擊者輕易而舉就拿到了網(wǎng)站的管理員權(quán)限，網(wǎng)站的一切都在其掌握之中！ 解決方法

編碼過程中，對可能出現(xiàn)的特殊字符做相應(yīng)的處理或過濾，同時對用戶提交的請求作出判斷，判斷它是否符合程序需要，若不符合則將其過濾掉。

動網(wǎng)上傳漏洞

原理

程序編碼不嚴謹，沒有考慮到系統(tǒng)的很多特殊情況，攻擊者通過構(gòu)造特殊的上傳路徑或特殊的文件名，繞過程序?qū)徍?，使其接受程序?guī)定以外的文件類型，達到攻擊的目的。 利用實例

假設(shè)有臺www 主機域名是www.***.com，論壇路徑是/bbs/，漏洞源于動網(wǎng)Upfile.asp 文件，upfile 是通過生成一個form 表上傳, 如下

用到的變量:

filepath 默認值uploadface 屬性hiden

act 默認值upload 屬性hiden

file1 就是你要傳的那個文件

關(guān)鍵是 filepath 這個變量!

默認情況下我們的文件上傳到www.***.com/bbs/uploadface/

文件是用你的上傳時間命名的, 就是upfile 里的這一句

FileName=FormPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&FileExt

我們知道計算機中的字符串數(shù)據(jù)是以“0”為標記結(jié)束的。我們構(gòu)造的Filepath 如下 Fielpath=’/newmm.asp0’

我們在2006.04.16.15.22上傳文件，

沒有構(gòu)造時，上傳后為：http://www.***.com/bbs/uploadface/200604161522.jpg

用構(gòu)造后的是，路徑為：http://www.***.com/newmm.asp0/200604161522.jpg

這樣，當服務(wù)其接受到提交的filepath 數(shù)據(jù)后，檢測到newmm.asp 后面的0,就認為filepath 的數(shù)據(jù)結(jié)束了，我們上傳的文件就保存為http://www.***.com/newmm.asp了, 現(xiàn)在的ASP 木馬多如牛毛，如存在類似漏洞，可以將newmm.asp 換成相應(yīng)的木馬程序就OK 了！ 解決方法

(1) 將Filepath 作為常量處理，怎樣攻擊者在怎么構(gòu)造，程序還是用本身定義的常量。

(2) 加強對計算機特殊字符”0”等特殊字符的處理。

五：管理方面

一個安全的網(wǎng)站，不但要有先進的技術(shù)支持，同時要配合并完善管理制度才能是網(wǎng)站的安全性更可靠。要對服務(wù)器機房制定相關(guān)的管理制度，以協(xié)助管理員管理機房，內(nèi)容涉及限制進入機房人員的身份、進出機房作記錄，設(shè)備進出機房做記錄，設(shè)備配置做了修改也應(yīng)記錄等，有助于網(wǎng)絡(luò)核心設(shè)備的監(jiān)控和網(wǎng)絡(luò)的正常運行。實行管理權(quán)限分散的原則，在不影響用戶實施只能的前提下，給予其最小的權(quán)限。對于網(wǎng)絡(luò)的最高權(quán)限，也可實行分散的原則，即要求多個擁有最高權(quán)限的用戶同時才能完成最高權(quán)限功能。另外管理員密碼要盡量復(fù)雜，不要有規(guī)律，經(jīng)常更換密碼，及時更新。網(wǎng)站的前后臺密碼不要一樣或相似，盡量不要有任何聯(lián)系。

小結(jié)：

管理是安全的核心，只有好的管理才能把現(xiàn)有資源最大程度地利用起來，先進的技術(shù)才能的到發(fā)揮。才能將網(wǎng)站的安全風(fēng)險降到最低。