第8章Web站点的安全.ppt

* 8.5 IIS和ASP技术构造Web站点 ASP的安全编程 3. 控制页面缓存 对于合法的用户，页面缓存功能可以加快浏览Web页面的速度，对于不合法的用户则提供了一个越权浏览机会。因此，对于应用系统中重要的Web页面，要禁止页面缓存。 * 8.6 防火墙技术应用于Web站点的安全 防火墙的功能 * 8.6 防火墙技术应用于Web站点的安全 代理服务器 代理服务器（有时被称为应用级网关）是一个应用程序，用于协调被保护的网络与Internet之间的数据交换，有的代理服务器本身就是一个防火墙软件。代理服务器通常用于替代基于路由器的数据交换控制器，防止数据直接在网络间交换。 * 8.6 防火墙技术应用于Web站点的安全 Internet和防火墙的关系 防火墙作为被保护网络与Internet之间的通道，其与Internet的关系有以下几点： 1. 使Web/HTTP通过防火墙 通常有以下三种方法： 1）使用屏蔽路由器，可以运行通过路由器建立向外的连接。 2）使用支持SOCKS的Web客户程序，并在防火墙上运行SOCKS。 3）在防火墙上运行某种支持代理的Web服务器。 * 8.6 防火墙技术应用于Web站点的安全 Internet和防火墙的关系 2.使FTP通过防火墙 使用如防火墙工具箱中的代理服务器，或者通过允许连接到内部具有一定限制的端口区域。 3. 使Telnet通过防火墙 通过使用如防火墙工具箱中tn-gw那样的代理服务器，或者简单地配置路由器，使路由器允许通过建立的屏蔽规则方法建立外出的连接。 * 8.6 防火墙技术应用于Web站点的安全 Internet和防火墙的关系 4. 使Finger通过防火墙 许多防火墙仅允许来自信任主机的finger请求，控制访问服务并将它们限制到特定的主机上 。 5. X Windows通过防火墙的问题 很多防火墙禁止所有的X数据交换，有的允许通过一定的应用代理来交换X数据。 * 思考题 Web面临哪些安全威胁，请简要说明。 Web应用程序的漏洞检测包括哪些？它们是如何进行工作的 ？ 什么是SQL注入？它有哪些危害？ 请简要阐述防火墙对Web站点安全的重要作用。 人有了知识，就会具备各种分析能力， 明辨是非的能力。 所以我们要勤恳读书，广泛阅读， 古人说“书中自有黄金屋。 ”通过阅读科技书籍，我们能丰富知识， 培养逻辑思维能力； 通过阅读文学作品，我们能提高文学鉴赏水平， 培养文学情趣； 通过阅读报刊，我们能增长见识，扩大自己的知识面。 有许多书籍还能培养我们的道德情操， 给我们巨大的精神力量， 鼓舞我们前进。 * * 8.2 Web面临的安全威胁 常见的Web应用程序攻击 8. 不安全的配置 许多操作系统和应用程序的缺省配置是非常不安全的。这些缺省配置有：开放了大量不必要的服务、安装某些不安全的第三方软件、使用缺省口令、缺省例子程序、不正确的文件访问许可设置等。 为了避免被攻击者利用，在程序启用之前应该被重新配置。 * 8.2 Web面临的安全威胁 常见的Web应用程序攻击 9. 管理缺失 许多操作系统和第三方应用软件都存在一些已知漏洞，如果管理员不及时对Web站点进行维护，安装已经发布了的软件补丁，这些漏洞就很可能被黑客利用。 * 8.3 针对Web应用程序漏洞的攻击 漏洞扫描器的基本原理如图 ： Web应用程序的安全漏洞包括由Web站点中的编程错误引起的用户详细信息被暴露、恶意用户执行任意的数据库查询、通过远程命令行访问服务器等非安全行为。漏洞扫描器的基本原理如图所示： * 8.3 针对Web应用程序漏洞的攻击 常见的基于网络扫描Web应用程序漏洞的过程大致分为四步 ： 1）确定检测目标，确定Web服务器的IP地址或域名地址。 2）从Web应用程序漏洞库列表中提取检测漏洞，或者从插件组中选取检测插件。 3）发送检测请