網站安全

網站安全是指出於防止網站受到外來電腦入侵者對其網站進行掛馬，篡改網頁等行為而做出一系列的防禦工作。由於一個網站設計者更多地考慮滿足用戶套用，如何實現業務。

很少考慮網站套用開發過程中所存在的漏洞，這些漏洞在不關注安全代碼設計的人員眼裡幾乎不可見，大多數網站設計開發者、網站維護人員對網站攻防技術的了解甚少；在正常使用過程中，即便存在安全漏洞，正常的使用者並不會察覺。

攻擊手段主要是利用Web伺服器的漏洞攻擊和網頁漏洞攻擊。

常見問題

大多數網站設計，只考慮正常用戶穩定使用

但在黑客對漏洞敏銳的發覺和充分利用的動力下，網站存在的這些漏洞就被挖掘出來，且成為黑客們直接或間接獲取利益的機會。對於Web應用程式的SQL注入漏洞，有試驗表明，通過搜尋1000個網站取樣測試，檢測到有15%的網站存在SQL注入漏洞。

網站防禦措施過於落後，甚至沒有真正的防禦

大多數防禦傳統的基於特徵識別的入侵防禦技術或內容過濾技術，對保護網站抵禦黑客攻擊的效果不佳。比如對SQL注入、跨站腳本這種特徵不唯一的網站攻擊，基於特徵匹配技術防禦攻擊，不能精確阻斷攻擊。因為黑客們可以通過構建任意表達式來繞過防禦設備固化的特徵庫，比如：and 1=1 和 and 2=2是一類資料庫語句，但可以人為任意構造數字構成同類語句的不同特徵。而and、=等這些標識在WEB提交資料庫套用中又是普遍存在的表達符號，不能作為攻擊的唯一特徵。因此，這就很難基於特徵標識來構建一個精確阻斷SQL注入攻擊的防禦系統。導致目 前有很多黑客將SQL注入成為入侵網站的首選攻擊技術之一。基於套用層構建的攻擊，防火牆更是束手無策。

網站防禦不佳還有另一個原因，有很多網站管理員對網站的價值認識僅僅是一台伺服器或者是網站的建設成本，為了這個伺服器而增加超出其成本的安全防護措施認為得不償失。而實際網站遭受攻擊之後，帶來的間接損失往往不能用一個伺服器或者是網站建設成本來衡量，很多信息資產在遭受攻擊之後造成無形價值的流失。不幸的是，很多網站負責的單位、人員，只有在網站遭受攻擊後，造成的損失遠超過網站本身造價之後才意識就這一點。

黑客入侵後，未被及時發現

有些黑客通過篡改網頁來傳播一些非法信息或炫耀自己的水平，但篡改網頁之前，黑客肯定基於對漏洞的利用，獲得了網站控制許可權。這不是最可怕的，因為黑客在獲取許可權後沒有想要隱蔽自己，反而是通過篡改網頁暴露自己，這雖然對網站造成很多負面影響，但黑客本身未獲得直接利益。更可怕的是，黑客在獲取網站的控制許可權之後，並不暴露自己，而是利用所控制網站產生直接利益;網頁掛馬就是一種利用網站，將瀏覽網站的人種植其木馬的一種非常隱蔽且直接獲取利益的主要方式之一。訪問網站而被種植木馬的人通常也不知情，導致一些用戶的機密信被竊取。網站成了黑客散布木馬的一個渠道。網站本身雖然能夠提供正常服務，但訪問網站的人卻遭受著木馬程式的危害。這種方式下，黑客們通常不會暴露自己，反而會儘量隱蔽，正好比暗箭難防，所以很多網站被掛木馬數月仍然未被察覺。由於掛馬原理是木馬本身並非在網站本地，而是通過網頁中載入一個能夠讓瀏覽者自動建立另外的下載連線完成木馬下載，而這一切動作是可以很隱蔽的完成，各個用戶不可見，因此這種情況下網站本地的病毒軟體也無法發現這個掛馬實體。

發現安全問題不能徹底解決

網站技術發展較快、安全問題日益突出，但由於關注重點不同，絕大多數的網站開發與設計公司，網站安全代碼設計方面了解甚少，發現網站安全存在問題和漏洞，其修補方式只能停留在頁面修復，很難針對網站具體的漏洞原理對原始碼進行改造。這些也是為什麼有些網站安裝網頁防止篡改、網站恢復軟體後仍然遭受攻擊。我們在一次網站安全檢查過程中，曾經戲劇化的發現，網站的網頁防篡改系統將早期植入的惡意代碼也保護了起來。這說明很少有人能夠準確的了解網站安全漏洞解決的問題是否徹底。

主要手段

攻擊分類

1、利用Web伺服器的漏洞進行攻擊。如CGI緩衝區溢出，目錄遍歷漏洞利用等攻擊；

2、利用網頁自身的安全漏洞進行攻擊。如SQL注入，跨站腳本攻擊等。

套用攻擊

1、緩衝區溢出——攻擊者利用超出緩衝區大小的請求和構造的二進制代碼讓伺服器執行溢出堆疊中的惡意指令。

2、Cookie假冒——精心修改cookie數據進行用戶假冒。

3、認證逃避——攻擊者利用不安全的證書和身份管理。

4、非法輸入——在動態網頁的輸入中使用各種非法數據，獲取伺服器敏感數據。

5、強制訪問——訪問未授權的網頁。

6、隱藏變數篡改——對網頁中的隱藏變數進行修改，欺騙伺服器程式。

7、拒絕服務攻擊——構造大量的非法請求，使Web伺服器不能回響正常用戶的訪問。

8、跨站腳本攻擊——提交非法腳本，其他用戶瀏覽時盜取用戶帳號等信息。

9、SQL注入——構造SQL代碼讓伺服器執行，獲取敏感數據。

10、URL 訪問限制失效——黑客可以訪問非授權的資源連線強行訪問一些登入網頁、歷史網頁。

11、被破壞的認證和 Session 管理——Session token 沒有被很好的保護 在用戶推出系統後，黑客能夠盜竊 session。

12、DNS攻擊——黑客利用DNS漏洞進行欺騙DNS伺服器，從而達到使DNS解析不正常，IP位址被轉嚮導致網站伺服器無法正常打開。

攻擊手段

SQL注入

對於和後台資料庫產生互動的網頁，如果沒有對用戶輸入數據的合法性進行全面的判斷，就會使應用程式存在安全隱患。用戶可以在可以提交正常數據的URL或者表單輸入框中提交一段精心構造的資料庫查詢代碼，使後台套用執行攻擊著的SQL代碼，攻擊者根據程式返回的結果，獲得某些他想得知的敏感數據，如管理員密碼，保密商業資料等。

跨站腳本攻擊

由於網頁可以包含由伺服器生成的、並且由客戶機瀏覽器解釋的文本和HTML標記。如果不可信的內容被引入到動態頁面中，則無論是網站還是客戶機都沒有足夠的信息識別這種情況並採取保護措施。攻擊者如果知道某一網站上的應用程式接收跨站點腳本的提交，他就可以在網上上提交可以完成攻擊的腳本，如JavaScript、VBScript、ActiveX、HTML 或 Flash 等內容，普通用戶一旦點擊了網頁上這些攻擊者提交的腳本，那么就會在用戶客戶機上執行，完成從截獲帳戶、更改用戶設定、竊取和篡改cookie到虛假廣告在內的種種攻擊行為。

隨著攻擊向套用層發展，傳統網路安全設備不能有效的解決目 前的安全威脅，網路中的套用部署面臨的安全問題必須通過一種全新設計的高性能防護套用層攻擊的安全防火牆——套用防火牆來解決。套用防火牆通過執行套用會話內部的請求來處理套用層。套用防火牆專門保護Web套用通信流和所有相關的套用資源免受利用Web協定發動的攻擊。套用防火牆可以阻止將套用行為用於惡意目的的瀏覽器和HTTP攻擊。這些攻擊包括利用特殊字元或通配符修改數據的數據攻擊，設法得到命令串或邏輯語句的邏輯內容攻擊，以及以賬戶、檔案或主機為主要目標的目標攻擊。

DNS攻擊

黑客使用常見的洪水攻擊，阻擊DNS伺服器，導致DNS伺服器無法正常工作，從而達到域名解析失敗，造成網站無法訪問。

安全檢測

一、進行網站安全漏洞掃描

由於現 在很多網站都存在sql注入漏洞，上傳漏洞等等漏洞，而黑客通過就可以通過網站這些漏洞，進行SQL注入進行攻擊，通過上傳漏洞進行木馬上傳等等。所以網站安全檢測很重要一步就是網站的漏洞檢測。

有一些線上的網站漏洞檢測工具，可以免費進行漏洞掃描和網站安全檢測。

說明：對於發現的網站漏洞要及時修補。

二、網站木馬的檢測

網站被掛馬是非常普遍的事情，同時也是最頭疼的一件事。所以網站安全檢測中，網站是否被掛馬是很重要的一個指標。

其實最簡單的檢測網站是否有掛馬的行為，一些防毒軟體有線上安全中心，可以直接提交URL進行木馬檢測。

說明：網站被掛馬是嚴重影響網站的信譽的，如有被掛馬請暫時關閉網站，及時清理木馬或木馬連結的頁面地址。

三、網站環境的檢測

網站環境包括網站所在伺服器的安全環境和維護網站者的工作環境的安全

很多黑客入侵網站是由於攻擊伺服器，竊取用戶資料。所以在選擇伺服器時要選擇一個有保證的服務商，而且穩定伺服器對網站的最佳化和seo也很有幫助的。

而站長或維護著所處的環境也非常重要，如果本身系統就存在木馬，那么盜取帳號就變得很簡單了。故要保持系統的安全，可以裝必要的防毒軟體，還有就是帳號和密碼要設定複雜一些。

四、其它檢測

黑鏈檢測，由於現 在黑鏈的利潤很高，故現 在更多黑客入侵網站目的就是為掛連結，而被掛黑鏈會嚴重影響SEO的最佳化。

具體檢測方法：

例如可以利用一些小工具查看有那些連結是PR比較低而且又比較陌生的連結就可能是黑鏈，將黑鏈刪除就可以。

五、遠程連線檢測

打開寬頻連線，進行寬頻的檢測和IP位址的檢測。以防止惡意的竊取用戶資料。

結構設計

網站結構設計是網站設計的重要組成部分。在內容設計完成之後，網站的目標及內容主題等有關問題已經確定。結構設計要做的事情就是如何將內容劃分為清晰合理的層次體系，比如欄目的劃分及其關係、網頁的層次及其關係、連結的路徑設定、功能在網頁上的分配等等，以上這些都僅僅是前台結構設計，而前台結構設計的實現需要強大的後台支撐，後台也應有良好的結構設計以保證前台結構設計的實現。顯然網站的結構設計是體現內容設計與創意設計的關鍵環節。理清網頁內容及欄目結構的脈絡，使連結結構、導航線路層次清晰；內容與結構要突出主題。

安全措施

1、登錄頁面加密

在登錄之後實施加密有可能有用，這就像把大門關上以防止馬兒跑出去一樣，不過他們並沒有對登錄會話加密，這就有點兒像在你鎖上大門時卻將鑰匙放在了鎖眼裡一樣。即使你的登錄會話被傳輸到了一個加密的資源，在許多情況下，這仍有可能被一個惡意的黑客攻克，他會精心地偽造一個登錄表單，藉以訪問同樣的資源，並訪問敏感數據。通常加密方式有MD5加密、資料庫加密等。

2、專業工具輔助

在市面目 前有許多針對於網站安全漏洞的檢測監測系統，但大多數是收費的，但也有一些免費的網站安全檢測平台，利用他們能夠迅速找到網站的安全隱患，同時一般也會給出相應的防範措施。

3、加密連線管理站點

使用不加密的連線(或僅使用輕度加密的連線)，如使用不加密的FTP或HTTP用於Web站點或Web伺服器的管理，就會將自己的大門向“中間人”攻擊和登錄/口令的嗅探等手段敞開大門。因此請務必使用加密的協定，如SSH等來訪問安全資源，要使用經證實的一些安全工具如某人截獲了你的登錄和口令信息，他就可以執行你可做的一切操作。

4、兼容性加密

根據目 前的發展情況，SSL已經不再是Web網站加密的最先進技術。可以考慮TLS，即傳輸層安全，它是安全套接字層加密的繼承者。要保證你所選擇的任何加密方案不會限制你的用戶基礎。

5、連線安全網路

避免連線安全特性不可知或不確定的網路，也不要連線一些安全性差勁的網路，如一些未知的開放的無線訪問點等。無論何時，只要你必須登錄到伺服器或Web站點實施管理，或訪問其它的安全資源時，這一點尤其重要。如果你連線到一個沒有安全保障的網路時，還必須訪問Web站點或Web伺服器，就必須使用一個安全代理，這樣你到安全資源的連線就會來自於一個有安全保障的網路代理。

6、不共享登錄信息

共享登錄機要信息會引起諸多安全問題。這不但適用於網站管理員或Web伺服器管理員，還適用於在網站擁有登錄憑證的人員，客戶也不應當共享其登錄憑證。登錄憑證共享得越多，就越可能更公開地共享，甚至對不應當訪問系統的人員也是如此；登錄機要信息共享得越多，要建立一個跟蹤索引藉以跟蹤、追查問題的源頭就越困難，而且如果安全性受到損害或威脅因而需要改變登錄信息時，就會有更多的人受到影響。

7. 採用基於密鑰的認證而不是口令認證

口令認證要比基於密鑰的認證更容易被攻破。設定口令的目的是在需要訪問一個安全的資源時能夠更容易地記住登錄信息。不過如果使用基於密鑰的認證，並僅將密鑰複製到預定義的、授權的系統（或複製到一個與授權的系統相分離的獨立介質中，直接需要它時才取回），你將會得到並使用一個更強健的難於破解的認證憑證。

8. 維護一個安全的工作站

如果你從一個客戶端系統連線到一個安全的資源站點，而你又不能完全保證其安全性，你就不能保證某人並沒有在監聽你所做的一切。因此鍵盤記錄器、受到惡意損害的網路加密客戶以及黑客們的其它一些破壞安全性的伎倆都會準許某個未得到授權的個人訪問敏感數據，而不管網路是否有安全措施，是否採用加密通信，也不管你是否部署了其它的網路保護。因此保障工作站的安全性是至關重要的。

9. 運用冗餘性保護網站

備份和伺服器的失效轉移可有助於維持最長的正常運行時間。雖然失效轉移可以極大地減少伺服器的宕機時間，但這並不是冗餘性的唯一價值。用於失效轉移計畫中的備份伺服器可以保持伺服器配置的最新，這樣在發生災難時你就不必從頭開始重新構建你的伺服器。備份可以確保客戶端數據不會丟失，而且如果你擔心受到損害系統上的數據落於不法之徒手中，就會毫不猶豫地刪除這種數據。當然，你還必須保障失效轉移和備份方案的安全，並定期地檢查以確保在需要這些方案時不至於使你無所適從。

10. 確保對所有的系統都實施強健的安全措施，而不僅運用特定的Web安全措施

在這方面，可以採用一些通用的手段，如採用強口令，採用強健的外圍防禦系統，及時更新軟體和為系統打補丁，關閉不使用的服務，使用數據加密等手段保證系統的安全等。

11、利用防火牆防護網站安全

例如使用作業系統自帶的Internet連線防火牆（ICF），檢查出入防火牆的所有數據包，決定攔截或是放行那些數據包。防火牆可以是一種硬體、固件或者軟體，例如專用防火牆設備、就是硬體形式的防火牆，包過濾路由器是嵌有防火牆固件的路由器，而代理伺服器等軟體就是軟體形式的防火牆。

12、運用網站監控措施

隨著網際網路的迅速成長，個人網站、企業網站、社區網站……越來越多，同時網站競爭也越來越強，從而衍生出來的對網站的監控，網站監控是通過軟體或者網站監控服務提供商對網站進行監控以及數據的獲取從而達到網站的排錯和數據的分析。

管理體系

信息安全管理就是通過保證維護信息的機密性、完整性和可用性來管理和保護組織的所有信息資產的一項體制。通過合理的組織體系、規章制度和控管措施，把具有信息安全保障功能的軟硬體設施和管理以及使用信息的人整合在一起，以此確保整個組織達到預定程度的信息安全。建立信息安全管理體系可以強化員工的信息安全意識，規範組織信息安全行為；對組織的關鍵信息資產進行全面系統的保護，維持競爭優勢；在信息系統受到侵襲時，確保業務持續開展並將損失降到最低程度。

HK-ISMS結構圖

常見的網路信息安全管理體系（ISMS）如圖所示，一般由四個基本組成部，第一是總體方針，第二是安全管理組織體系，第三是涵蓋物理、網路、系統、套用、數據等方面的統一安全策略，第四是可操作的安全管理制度、操作規範和流程。

◆安全管理最高指導方針

在充分遵循和參考國際國內信息安全管理標準、國家法律法規和行業規範的基礎上，闡述了安全管理體系建設的目的、適用範圍、安全定義、體系結構、安全原則、關鍵性成功因素和聲明等內容，對組織技術和管理各方面的安全工作具有通用指導性。

◆安全管理組織體系

建立健全組織信息系統的安全管理責任制。它明確定義了組織內部的安全管理組織體系，以便在整個組織體系範圍內執行信息安全的管理工作。

◆安全策略體系

分別從物理安全、網路安全、系統安全、套用安全、數據安全、病毒防護、安全教育、應急恢復、口令管理、安全審計、系統開發、第三方安全等方面提出了規範的安全策略要求。

◆安全管理制度、操作規範及流程

主要是從套用角度對各業務系統、各種信息技術角色相關的安全管理制度、操作規範、流程等提出具體的要求，對安全管理工作具有實際的指導作用。

◆管理員策略

制定管理員策略，負責對網站安全的維護，網路設備的安裝、管理及日常維護（包括防火牆、路由器、交換機、伺服器等）。