網站安全

大多數網站設計，只考慮正常用户穩定使用

但在黑客對漏洞敏鋭的發覺和充分利用的動力下，網站存在的這些漏洞就被挖掘出來，且成為黑客們直接或間接獲取利益的機會。對於Web應用程序的SQL注入漏洞，有試驗表明，通過搜尋1000個網站取樣測試，檢測到有15%的網站存在sql注入漏洞。

網站防禦措施過於落後，甚至沒有真正的防禦

大多數防禦傳統的基於特徵識別的入侵防禦技術或內容過濾技術，對保護網站抵禦黑客攻擊的效果不佳。比如對SQL注入、跨站腳本這種特徵不唯一的網站攻擊，基於特徵匹配技術防禦攻擊，不能精確阻斷攻擊。因為黑客們可以通過構建任意表達式來繞過防禦設備固化的特徵庫，比如：and 1=1 和 and 2=2是一類數據庫語句，但可以人為任意構造數字構成同類語句的不同特徵。而and、=等這些標識在WEB提交數據庫應用中又是普遍存在的表達符號，不能作為攻擊的唯一特徵。因此，這就很難基於特徵標識來構建一個精確阻斷SQL注入攻擊的防禦系統。導致目 前有很多黑客將sql注入成為入侵網站的首選攻擊技術之一。基於應用層構建的攻擊，防火牆更是束手無策。

網站防禦不佳還有另一個原因，有很多網站管理員對網站的價值認識僅僅是一台服務器或者是網站的建設成本，為了這個服務器而增加超出其成本的安全防護措施認為得不償失。而實際網站遭受攻擊之後，帶來的間接損失往往不能用一個服務器或者是網站建設成本來衡量，很多信息資產在遭受攻擊之後造成無形價值的流失。不幸的是，很多網站負責的單位、人員，只有在網站遭受攻擊後，造成的損失遠超過網站本身造價之後才意識就這一點。

黑客入侵後，未被及時發現

有些黑客通過篡改網頁來傳播一些非法信息或炫耀自己的水平，但篡改網頁之前，黑客肯定基於對漏洞的利用，獲得了網站控制權限。這不是最可怕的，因為黑客在獲取權限後沒有想要隱蔽自己，反而是通過篡改網頁暴露自己，這雖然對網站造成很多負面影響，但黑客本身未獲得直接利益。更可怕的是，黑客在獲取網站的控制權限之後，並不暴露自己，而是利用所控制網站產生直接利益;網頁掛馬就是一種利用網站，將瀏覽網站的人種植其木馬的一種非常隱蔽且直接獲取利益的主要方式之一。訪問網站而被種植木馬的人通常也不知情，導致一些用户的機密信被竊取。網站成了黑客散佈木馬的一個渠道。網站本身雖然能夠提供正常服務，但訪問網站的人卻遭受着木馬程序的危害。這種方式下，黑客們通常不會暴露自己，反而會盡量隱蔽，正好比暗箭難防，所以很多網站被掛木馬數月仍然未被察覺。由於掛馬原理是木馬本身並非在網站本地，而是通過網頁中加載一個能夠讓瀏覽者自動建立另外的下載連接完成木馬下載，而這一切動作是可以很隱蔽的完成，各個用户不可見，因此這種情況下網站本地的病毒軟件也無法發現這個掛馬實體。

發現安全問題不能徹底解決

網站技術發展較快、安全問題日益突出，但由於關注重點不同，絕大多數的網站開發與設計公司，網站安全代碼設計方面瞭解甚少，發現網站安全存在問題和漏洞，其修補方式只能停留在頁面修復，很難針對網站具體的漏洞原理對源代碼進行改造。這些也是為什麼有些網站安裝網頁防止篡改、網站恢復軟件後仍然遭受攻擊。我們在一次網站安全檢查過程中，曾經戲劇化的發現，網站的網頁防篡改系統將早期植入的惡意代碼也保護了起來。這説明很少有人能夠準確的瞭解網站安全漏洞解決的問題是否徹底。

1、利用Web服務器的漏洞進行攻擊。如CGI緩衝區溢出，目錄遍歷漏洞利用等攻擊；

2、利用網頁自身的安全漏洞進行攻擊。如SQL注入，跨站腳本攻擊等。

1、緩衝區溢出——攻擊者利用超出緩衝區大小的請求和構造的二進制代碼讓服務器執行溢出堆棧中的惡意指令。

2、Cookie假冒——精心修改cookie數據進行用户假冒。

3、認證逃避——攻擊者利用不安全的證書和身份管理。

4、非法輸入——在動態網頁的輸入中使用各種非法數據，獲取服務器敏感數據。

5、強制訪問——訪問未授權的網頁。

6、隱藏變量篡改——對網頁中的隱藏變量進行修改，欺騙服務器程序。

7、拒絕服務攻擊——構造大量的非法請求，使Web服務器不能響應正常用户的訪問。

8、跨站腳本攻擊——提交非法腳本，其他用户瀏覽時盜取用户賬號等信息。

9、SQL注入——構造SQL代碼讓服務器執行，獲取敏感數據。

10、URL 訪問限制失效——黑客可以訪問非授權的資源連接強行訪問一些登陸網頁、歷史網頁。

11、被破壞的認證和 Session 管理——Session token 沒有被很好的保護 在用户推出系統後，黑客能夠盜竊 session。

12、DNS攻擊——黑客利用DNS漏洞進行欺騙DNS服務器，從而達到使DNS解析不正常，IP地址被轉向導致網站服務器無法正常打開。

對於和後台數據庫產生交互的網頁，如果沒有對用户輸入數據的合法性進行全面的判斷，就會使應用程序存在安全隱患。用户可以在可以提交正常數據的URL或者表單輸入框中提交一段精心構造的數據庫查詢代碼，使後台應用執行攻擊着的SQL代碼，攻擊者根據程序返回的結果，獲得某些他想得知的敏感數據，如管理員密碼，保密商業資料等。

由於網頁可以包含由服務器生成的、並且由客户機瀏覽器解釋的文本和HTML標記。如果不可信的內容被引入到動態頁面中，則無論是網站還是客户機都沒有足夠的信息識別這種情況並採取保護措施。攻擊者如果知道某一網站上的應用程序接收跨站點腳本的提交，他就可以在網上上提交可以完成攻擊的腳本，如JavaScript、VBScript、ActiveX、HTML 或 Flash 等內容，普通用户一旦點擊了網頁上這些攻擊者提交的腳本，那麼就會在用户客户機上執行，完成從截獲賬户、更改用户設置、竊取和篡改cookie到虛假廣告在內的種種攻擊行為。

隨着攻擊向應用層發展，傳統網絡安全設備不能有效的解決目 前的安全威脅，網絡中的應用部署面臨的安全問題必須通過一種全新設計的高性能防護應用層攻擊的安全防火牆——應用防火牆來解決。應用防火牆通過執行應用會話內部的請求來處理應用層。應用防火牆專門保護Web應用通信流和所有相關的應用資源免受利用Web協議發動的攻擊。應用防火牆可以阻止將應用行為用於惡意目的的瀏覽器和HTTP攻擊。這些攻擊包括利用特殊字符或通配符修改數據的數據攻擊，設法得到命令串或邏輯語句的邏輯內容攻擊，以及以賬户、文件或主機為主要目標的目標攻擊。

黑客使用常見的洪水攻擊，阻擊DNS服務器，導致DNS服務器無法正常工作，從而達到域名解析失敗，造成網站無法訪問。

由於現 在很多網站都存在sql注入漏洞，上傳漏洞等等漏洞，而黑客通過就可以通過網站這些漏洞，進行SQL注入進行攻擊，通過上傳漏洞進行木馬上傳等等。所以網站安全檢測很重要一步就是網站的漏洞檢測。

有一些在線的網站漏洞檢測工具，可以免費進行漏洞掃描和網站安全檢測。

説明：對於發現的網站漏洞要及時修補。

網站被掛馬是非常普遍的事情，同時也是最頭疼的一件事。所以網站安全檢測中，網站是否被掛馬是很重要的一個指標。

其實最簡單的檢測網站是否有掛馬的行為，一些殺毒軟件有在線安全中心，可以直接提交URL進行木馬檢測。

説明：網站被掛馬是嚴重影響網站的信譽的，如有被掛馬請暫時關閉網站，及時清理木馬或木馬鏈接的頁面地址。

網站環境包括網站所在服務器的安全環境和維護網站者的工作環境的安全

很多黑客入侵網站是由於攻擊服務器，竊取用户資料。所以在選擇服務器時要選擇一個有保證的服務商，而且穩定服務器對網站的優化和seo也很有幫助的。

而站長或維護着所處的環境也非常重要，如果本身系統就存在木馬，那麼盜取賬號就變得很簡單了。故要保持系統的安全，可以裝必要的殺毒軟件，還有就是賬號和密碼要設置複雜一些。

黑鏈檢測，由於現 在黑鏈的利潤很高，故現 在更多黑客入侵網站目的就是為掛鏈接，而被掛黑鏈會嚴重影響SEO的優化。

具體檢測方法：

例如可以利用一些小工具查看有那些鏈接是PR比較低而且又比較陌生的鏈接就可能是黑鏈，將黑鏈刪除就可以。

打開寬帶連接，進行寬帶的檢測和IP地址的檢測。以防止惡意的竊取用户資料。

網站結構設計是網站設計的重要組成部分。在內容設計完成之後，網站的目標及內容主題等有關問題已經確定。結構設計要做的事情就是如何將內容劃分為清晰合理的層次體系，比如欄目的劃分及其關係、網頁的層次及其關係、鏈接的路徑設置、功能在網頁上的分配等等，以上這些都僅僅是前台結構設計，而前台結構設計的實現需要強大的後台支撐，後台也應有良好的結構設計以保證前台結構設計的實現。顯然網站的結構設計是體現內容設計與創意設計的關鍵環節。理清網頁內容及欄目結構的脈絡，使鏈接結構、導航線路層次清晰；內容與結構要突出主題。

在登錄之後實施加密有可能有用，這就像把大門關上以防止馬兒跑出去一樣，不過他們並沒有對登錄會話加密，這就有點兒像在你鎖上大門時卻將鑰匙放在了鎖眼裏一樣。即使你的登錄會話被傳輸到了一個加密的資源，在許多情況下，這仍有可能被一個惡意的黑客攻克，他會精心地偽造一個登錄表單，藉以訪問同樣的資源，並訪問敏感數據。通常加密方式有MD5加密、數據庫加密等。

在市面目 前有許多針對於網站安全漏洞的檢測監測系統，但大多數是收費的，但也有一些免費的網站安全檢測平台，利用他們能夠迅速找到網站的安全隱患，同時一般也會給出相應的防範措施。

使用不加密的連接(或僅使用輕度加密的連接)，如使用不加密的FTP或HTTP用於Web站點或Web服務器的管理，就會將自己的大門向“中間人”攻擊和登錄/口令的嗅探等手段敞開大門。因此請務必使用加密的協議，如SSH等來訪問安全資源，要使用經證實的一些安全工具如某人截獲了你的登錄和口令信息，他就可以執行你可做的一切操作。

根據目 前的發展情況，SSL已經不再是Web網站加密的最先進技術。可以考慮TLS，即傳輸層安全，它是安全套接字層加密的繼承者。要保證你所選擇的任何加密方案不會限制你的用户基礎。

避免連接安全特性不可知或不確定的網絡，也不要連接一些安全性差勁的網絡，如一些未知的開放的無線訪問點等。無論何時，只要你必須登錄到服務器或Web站點實施管理，或訪問其它的安全資源時，這一點尤其重要。如果你連接到一個沒有安全保障的網絡時，還必須訪問Web站點或Web服務器，就必須使用一個安全代理，這樣你到安全資源的連接就會來自於一個有安全保障的網絡代理。

共享登錄機要信息會引起諸多安全問題。這不但適用於網站管理員或Web服務器管理員，還適用於在網站擁有登錄憑證的人員，客户也不應當共享其登錄憑證。登錄憑證共享得越多，就越可能更公開地共享，甚至對不應當訪問系統的人員也是如此；登錄機要信息共享得越多，要建立一個跟蹤索引藉以跟蹤、追查問題的源頭就越困難，而且如果安全性受到損害或威脅因而需要改變登錄信息時，就會有更多的人受到影響。

口令認證要比基於密鑰的認證更容易被攻破。設置口令的目的是在需要訪問一個安全的資源時能夠更容易地記住登錄信息。不過如果使用基於密鑰的認證，並僅將密鑰複製到預定義的、授權的系統（或複製到一個與授權的系統相分離的獨立介質中，直接需要它時才取回），你將會得到並使用一個更強健的難於破解的認證憑證。

如果你從一個客户端系統連接到一個安全的資源站點，而你又不能完全保證其安全性，你就不能保證某人並沒有在監聽你所做的一切。因此鍵盤記錄器、受到惡意損害的網絡加密客户以及黑客們的其它一些破壞安全性的伎倆都會准許某個未得到授權的個人訪問敏感數據，而不管網絡是否有安全措施，是否採用加密通信，也不管你是否部署了其它的網絡保護。因此保障工作站的安全性是至關重要的。

備份和服務器的失效轉移可有助於維持最長的正常運行時間。雖然失效轉移可以極大地減少服務器的宕機時間，但這並不是冗餘性的唯一價值。用於失效轉移計劃中的備份服務器可以保持服務器配置的最新，這樣在發生災難時你就不必從頭開始重新構建你的服務器。備份可以確保客户端數據不會丟失，而且如果你擔心受到損害系統上的數據落於不法之徒手中，就會毫不猶豫地刪除這種數據。當然，你還必須保障失效轉移和備份方案的安全，並定期地檢查以確保在需要這些方案時不至於使你無所適從。

在這方面，可以採用一些通用的手段，如採用強口令，採用強健的外圍防禦系統，及時更新軟件和為系統打補丁，關閉不使用的服務，使用數據加密等手段保證系統的安全等。

例如使用操作系統自帶的Internet連接防火牆（ICF），檢查出入防火牆的所有數據包，決定攔截或是放行那些數據包。防火牆可以是一種硬件、固件或者軟件，例如專用防火牆設備、就是硬件形式的防火牆，包過濾路由器是嵌有防火牆固件的路由器，而代理服務器等軟件就是軟件形式的防火牆。

隨着互聯網的迅速成長，個人網站、企業網站、社區網站……越來越多，同時網站競爭也越來越強，從而衍生出來的對網站的監控，網站監控是通過軟件或者網站監控服務提供商對網站進行監控以及數據的獲取從而達到網站的排錯和數據的分析。

信息安全管理就是通過保證維護信息的機密性、完整性和可用性來管理和保護組織的所有信息資產的一項體制。通過合理的組織體系、規章制度和控管措施，把具有信息安全保障功能的軟硬件設施和管理以及使用信息的人整合在一起，以此確保整個組織達到預定程度的信息安全。建立信息安全管理體系可以強化員工的信息安全意識，規範組織信息安全行為；對組織的關鍵信息資產進行全面系統的保護，維持競爭優勢；在信息系統受到侵襲時，確保業務持續開展並將損失降到最低程度。

常見的網絡信息安全管理體系（ISMS）如圖1所示，一般由四個基本組成部，第一是總體方針，第二是安全管理組織體系，第三是涵蓋物理、網絡、系統、應用、數據等方面的統一安全策略，第四是可操作的安全管理制度、操作規範和流程。

◆安全管理最高指導方針

在充分遵循和參考國際國內信息安全管理標準、國家法律法規和行業規範的基礎上，闡述了安全管理體系建設的目的、適用範圍、安全定義、體系結構、安全原則、關鍵性成功因素和聲明等內容，對組織技術和管理各方面的安全工作具有通用指導性。

◆安全管理組織體系

建立健全組織信息系統的安全管理責任制。它明確定義了組織內部的安全管理組織體系，以便在整個組織體系範圍內執行信息安全的管理工作。

◆安全策略體系

分別從物理安全、網絡安全、系統安全、應用安全、數據安全、病毒防護、安全教育、應急恢復、口令管理、安全審計、系統開發、第三方安全等方面提出了規範的安全策略要求。

◆安全管理制度、操作規範及流程

主要是從應用角度對各業務系統、各種信息技術角色相關的安全管理制度、操作規範、流程等提出具體的要求，對安全管理工作具有實際的指導作用。

◆管理員策略

制定管理員策略，負責對網站安全的維護，網絡設備的安裝、管理及日常維護（包括防火牆、路由器、交換機、服務器等）。