校园网站安全初探.docVIP

校园网站安全初探 　　【摘要】校园网站的安全关系着学校信息的安全，各级各类学校都把校园网站的安全位置放得很高。本人从事校园网站安全管理已有数年历史。 　　【关键词】校园；网站；初探 　　Campus web security 　　Zhao Qingwen 　　【Abstract】Campus site security relationship with the school of information security， all kinds of schools at all levels have put the campus site safe place very high. I engaged in the campus site safety management has several years history. 　　【Key words】The campus； A website； A preliminary study 　　校园网站的安全关系着学校信息的安全，各级各类学校都把校园网站的安全位置放得很高。本人从事校园网站安全管理已有数年历史，以下是本人的一点认识。 　　校园网站的安全主要是Web服务器的安全，而Web服务器的安全又主要是操作系统安全、IIS安全和Web应用安全三部分。 　　IIS（Internet Information Server）作为目前最为流行的Web服务器平台，发挥着巨大的作用。因此，了解如何加强IIS的安全机制，建立一个高安全性能的Web服务器就显得尤为重要。 　　1 保证系统的安全性 　　因为IIS是建立在Windows Server（2003/2008）操作系统下，安全性也应该建立在系统安全性的基础上，因此，保证系统的安全性是IIS安全性的基础，为此，我们要做以下事情。 　　1.1 使用NTFS文件系统：在NT系统中应该使用NTFS系统，NTFS可以对文件和目录进行管理，而FAT32文件系统只能提供共享级的安全，而且在默认情况下，每建立一个新的共享，所有的用户就都能看到，这样不利于系统的安全性。和FAT32文件系统不同，在NTFS文件下，建立新共享后可以通过修改权限保证系统安全。 　　1.2 关闭默认共享：在Windows Server中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考虑，最好关闭这个“默认共享”，以保证系统安全。方法是：单击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开HKEY_ LOCAL_MACHINE anmanworkstation arameters，在右侧窗口中创建一个名为“AutoShare-Wks”的双字节值，将其值设置为0，这样就可以彻底关闭“默认共享”。 　　1.3 设置用户密码：用户一定要设置密码，用户的密码尽量使用数字与字母大小混排的口令，还需要经常修改密码，封锁失败的登录尝试，并且设定严格的账户生存时间。应避免设置简单的密码，且用户的密码尽可能不要和用户名有任何关联。 　　2 保证IIS自身的安全性 　　在保证系统具有较高安全性的情况下，还要保证IIS的安全性，主要请注意以下事情： 　　2.1 要尽量避免把IIS安装在网络中的主域控制器上。因为在安装完IIS后，会在所安装的计算机上生成IUSR_Computername的匿名账户。这个账户会被添加到域用户组中，从而把应用于域用户组的访问权限提供给访问Web服务器的每个匿名用户，这样不仅不能保证IIS的安全性，而且会威胁到主域控制器。 　　2.2 限制网站的目录权限。目前有很多的脚本都有可能导致安全隐患，因此在设定IIS中网站的目录权限时，要严格限制执行、写入等权限。 　　2.3 经常到微软的站点下载IIS的补丁程序，保证IIS必威体育精装版版本。 　　3 保障Web应用安全 　　随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站VIP会员密码泄露大多就是通过Web表单递交查询字符实现的，这类表单特别容易受到SQL注入式攻击。 　　SQL注入攻击的原理本身非常简单，相关攻击工具容易下载，攻击者获得权限后有利可图。这使得它成为最有效的、攻击者最常采用的Web入侵手段，是众多网站成为恶意代码传播平台的起因之一。 　　针对这一攻击