[互联网]网络安全 第7章 Web的安全.ppt

第7章　Web的安全 7.1　Web安全概述 7.1.1　Internet的脆弱性 Web是建立在Internet上的典型服务，所以，Internet的安全是web安全的前提和基础。Internet的安全隐患主要表现在： （1）Internet的无边界性为黑客进行跨国攻击提供了有利的条件，他们足不出户就可以对世界上任何角落的主机进行攻击和破坏。 （2）Internet虚拟的“自由、民主、平等”观念容易使人轻易接受，不同的社会意识形态很容易相互渗透。这些因素为Internet的应用埋下了安全隐患。 7.1.1　Internet的脆弱性 （3）Internet没有确定用户真实身份的有效方法，通过IP地址识别和管理网络用户的机制是不可靠的，存在着严重的安全漏洞，容易被欺骗。 （4）Internet是分布式的网络，不存在中央监控管理机制，也没有完善的法律和法规，因此无法对Internet犯罪进行有效地处理。 （5）Internet本身没有审计和记录功能，对发生的事情没有记录，这本身也是一个安全隐患。 （6）Internet从技术上来讲是开放的，是基于可信、友好的前提设计的，是为君子设计而不防小人的。 7.1.2　Web的安全问题 1．影响Web安全的因素 （2）Web程序员由于工作失误或者程序设计上的漏洞，也可能造成Web系统的安全缺陷，这些缺陷可能被一些心怀不满的员工、网络间谍或入侵者所利用。因此，在Web脚本程序的设计上，提高网络编程质量，也是提高Web安全性的重要方面。 （3）用户是通过浏览器和Web站点进行交互的，由于浏览器本身的安全漏洞，使得非法用户可以通过浏览器攻击Web站点，这也是需要警惕的一个重要方面。 7.2　Web服务器的安全　 7.2.1　Web服务器存在的漏洞　 Web服务器存在的主要漏洞包括物理路径泄露，目录遍历，执行任意命令，缓冲区溢出，拒绝服务，SQL注入，条件竞争和CGI漏洞。 无论是什么漏洞，都体现着安全是一个整体，考虑Web服务器的安全性，必须要考虑到与之相配合的操作系统。 1.物理路径泄露 物理路径泄露一般是由于Web服务器处理用户请求出错导致的，如通过提交一个超长的请求，或者是某个精心构造的特殊请求，或是请求一个Web服务器上不存在的文件。这些请求都有一个共同特点，那就是被请求的文件肯定属于CGI脚本，而不是静态HTML页面。 还有一种情况，就是Web服务器的某些显示环境变量的程序错误的输出了Web服务器的物理路径，这通常是设计上的问题。 2.目录遍历 目录遍历对于Web服务器来说并不多见，通过对任意目录附加“../”，或者是在有特殊意义的目录附加“../”，或者是附加“../”的一些变形，如“..”或“..//”甚至其编码，都可能导致目录遍历。 前一种情况并不多见，但是后面的几种情况就常见得多，曾经非常流行的IIS二次解码漏洞和Unicode解码漏洞都可以看作是变形后的编码。 3.执行任意命令 执行任意命令即执行任意操作系统命令，主要包括两种情况： 一是通过遍历目录，如前面提到的二次解码和UNICODE解码漏洞，来执行系统命令。 另外一种就是Web服务器把用户提交的请求作为SSI指令解析，因此导致执行任意命令。 4.缓冲区溢出 缓冲区溢出漏洞是非常常见的，通常是Web服务器没有对用户提交的超长请求没有进行合适的处理，这种请求可能包括超长URL，超长HTTP Header域，或者是其它超长的数据。 这种漏洞可能导致执行任意命令或者是拒绝服务，这一般取决于构造的数据。 5.SQL注入 SQL注入的漏洞是在编程过程中造成的。 后台数据库允许动态SQL语句的执行。 前台应用程序没有对用户输入的数据或者页面提交的信息(如 GET)进行必要的安全检查。 这是由于数据库自身的特性，与web程序的编程语言无关。 几乎所有的关系数据库系统和相应的SQL语言都面临SQL注入的潜在威胁。 6.拒绝服务 拒绝服务产生的原因多种多样，主要包括超长URL，特殊目录，超长HTTP Header域，畸形HTTP Header域或者是DOS设备文件等。 由于Web服务器在处理这些特殊请求时不知所措或者是处理方式不当，因此出错终止或挂起。 7.条件竞争 这里的条件竞争主要针对一些管理服务器而言，这类服务器一般是以System或Root身份运行的。 当它们需要使用一些临时文件，而在对这些文件进行写操作之前，却没有对文件的属性进行检查，一般可能导致重要系统文件被重写，甚至获得系统控制权。 8.CGI漏洞 通过CGI脚本存在的安全漏洞，比如暴露敏感信息、缺省提供的某些正常服务未关闭、利用某些服务漏洞执行命令、应用程序存在远程溢出、非通用CGI程