[13数据安全2005-Web安全与电子商务安全.ppt

数据安全 -- Web安全与电子商务安全 主讲人：翟健宏 Email: zhaijh@ 办公室:新技术楼509 Tel:04511 Web安全性问题 2 Web安全防护技术 3 SSL-Secure Socket Layer 4 电子商务的安全SET 1 Web安全性问题 Web是一个运行于internet和基于TCP/IP的intranet 之上的基本的client/server应用。 Web安全性涉及前面讨论的所有计算机与网络的安全性内容。 同时还具有新的挑战。 Web具有双向性（传统出版系统为单向，包括电子出版系统图文电视、语音应答、传真应答系统），Web server易于遭受来自Internet的攻击。实现Web浏览、配置管理、内容发布等功能的软件异常复杂，其中隐藏许多潜在的安全隐患，短短的Web发展历史已经说明了这一点。 Web通常是一个公司或机构的发布板，常常和其它计算机联系在一起。一旦Web server被攻破，可能殃及其它。用户往往是偶然的和未经训练的，对安全风险没有意识，更没有足够的防范工具和知识。 1.1 Web的结构（b/s模式） 1.2 Web开发环境 CGI ASP Java 1.3 CGI安全威胁 非正常的表单数据 上传表单数据可能不是预期的，如：选项错误、大于最大长度和字段不符。 路径数据错误 利用PATH_INFO变量。例如，在以下源代码中提交不同路径将导致不同结果。 Echo “HTMLHEADER TITLEFile/TITLE HEADERBODY” echo “ Here is the requested filePRE\n” cat $PATH_INFO echo “/PRE/BODYHTML” 提交的PATH_INFO及结果。 URL： http：//chi-bin/fool.sh/public/faq.txt； 打印faq.txt。 URL： http：//chi-bin/fool.sh/etc/passwd； 打印passwd文件。 零字节问题 Parse $user_input $database=“$user_input.db”; Open(FILE”$database”); 提交/etc/passwd\0（‘/etc/passwd ‘） 时就可能打开passwd，而不是/etc/passwd.db 处理文件名 分号命令分隔 / 目录分割 ./ 当前目录 ../ 上级目录 处理HTML 处理外部进程 处理内部函数 1.4 ASP的安全威胁 泄露源代码 http：///some.asp：：$DATA http：///some.asp2e http：///some.asp http：///some%2e@41sp http：///some%2e%asp FileSystemObiect 文件操作可通过VB的FileSystemObiect来执行； 例查看文件的ASP源码 (调用格式http：//xxxx/cat.asp?file=文件名)； % Response.ContextType=“text/plain” file=Request.QueryString(“file”) set fsFilesys=CreateObiect(“Scripting.FileSystemObject”) set tsCoffee=fsFilesys.OpenTextFile(file) Response.Write tsCoffee.Readall tsCoffee.Close set fsFilesys=Nothing set fsFilesys=Nothing % 数据库密码验证 sql=“select * from user where username=“”username””and pass=“” pass”” ” sql=“select * from user where username=““hacker”” or “1”=“1” or “a”=a ”and pass=““ pass”” ” user=“aa“????or????user“aa“ password=“aa“????or????password“aa“ 相应的在浏览器端的用户名框内写入：aa“????or????user“aa 口令框内写入：aa“????or????password“aa 注意这两个字符串两头是没有“的。 1.5 C