网站安全方案书(编辑修改稿)

网站安全方案书(编辑修改稿)内容摘要：

1． 表单提交，主要是 POST 请求，也包括 GET 请求。 2． URL 参数提交，主要为 GET 请求参数。 3． Cookie 参数提交。 4． HTTP 请求头部的一些可修改的值，比如 Referer、 User_Agent 等。 5． 一些边缘的输入点，比如 .mp3 文件的一些文件信息等。 服务端从客户端直接或间接获取数据的过程都是一次输入过程， 无论直接或间接，默认情况下输入的数据都应该认为是不安全的。 上面列举的几类输入点，只要任何一点存在过滤不严，过滤缺陷等问题， 都有可能发生 SQL 注入攻击。 大多数情况下， SQL 注入的过程都是由工具完成的， 其中包括大批量注入工具的使用。 网络安全实训 5 注入危害 SQL 注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统；如果 SQL 注入被用 来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于： 数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。 作为数据的存储中心，数据库里往往保存着各类的隐私信息， SQL 注入攻击能导致这些隐私信息透明于攻击者。 网页篡改：通过操作数据库对特定网页进行篡改。 网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。 数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被窜改。 服务器被远程控制，被安装后门。 经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。 破坏硬盘数据，瘫痪全系统。 一些类型的数据库系统能够让 SQL 指令操作文件系统，这使得 SQL 注入的危害被进一步放大。 的解决方法 解决 SQL 注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。 经常使用的方案有： 1． 所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中。 当前几乎所有的数据库系统都提供了参数化 SQL 语句执行接口，使用此接口可以非常有效的防止 SQL 注入攻击。 2． 对进入数据库 的特殊字符（ 39。 \amp。 *。 等）进行转义处理，或编码转换。 3． 确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为 int 型。 4． 数据长度应该严格规定，能在一定程度上防止比较长的 SQL 注入语句无法正确执行。 5． 网站每个数据层的编码统一，建议全部使用 UTF8 编码，上下层编码不一致有可能导致一些过滤模型被绕过。 6． 严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。 7． 避免网站显示 SQL 错误信息，比如类 型错误、字段不匹配等，防止攻击者利用这些网络安全实训 6 错误信息进行一些判断。 8． 在网站发布之前建议使用一些专业的 SQL 注入检测工具进行检测，及时修补这些SQL 注入漏洞。 . 跨站脚本攻击 定义 跨站脚本攻击（ Crosssite scripting，通常简称为 XSS）发生在客户端，恶意的攻击者将对客户端有危害的代码放到服务器上作为一个网页内容， 使得其他网站用户在观看此网页时，这些代码注入到了用户的浏览器中执行，使用户受到攻击。 一般而言，利用跨站脚本攻击，攻击者可窃会话 COOKIE 从而 窃取网站用户的隐私，包括密码。 XSS 攻击使用到的技术主要为 HTML 和 JavaScript，也包括 VBScript 和 Action Script等。 XSS 攻击对 WEB 服务器虽无 直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。 攻击者通过网站的输入点嵌入非法的 HTML标签与 JavaScript脚本并执行以达到在客户端攻击的目的。 攻击者注入的标签与脚本最终都要在客户端执行，攻击的过程实际上都在客户端的浏览器上发生的。 能在客户端进行跨站的不仅仅是 HTML 标签与 JavaScript 脚本，还包含一些其它的客户端应用，比如 Flash 里的 Action Script 脚本也能辅助发起 XSS 攻击。 XSS 攻击中 WEB 服务器没有过滤类似 script标签字符串是导致 XSS 攻击得逞的最主要原因。 XSS 的危害包括： 1． 钓鱼欺骗：最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者注入钓鱼 JavaScript 以监控目标网站的表单输入，甚至发起基于 DHTML 更高级的钓鱼攻击方式。 网络安全实训 7 2． 网站挂马：跨站利用 I Frame 嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上，或者弹出恶意网站窗口等方式都可以进行挂马攻击。 3． 身份盗用： Cookie 是用户对于特定网站的身份验证标志， XSS 可以盗取到用户的Cookie，从而利用该 Cookie 盗取用户对该网站的操作权限。 如果一个网站管理员用户 Cookie被窃 取，将会对网站引发巨大的危害。 4． 盗取网站用户信息：当能够窃取到用户 Cookie 从而获取到用户身份使，攻击者可以获取到用户对网站的操作权限，从而查看用户隐私信息。 5． 垃圾信息发送：比如在 SNS 社区中，利用 XSS 漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。 6． 劫持用户 Web 行为：一些高级的 XSS 攻击甚至可以劫持用户的 Web 行为，监视用户的浏览历史，发送与接收的数据等等。 7． XSS 蠕虫： XSS 蠕虫可以用来打广告、刷流量、挂马、恶作剧、破坏网上数据、实施 D Dos 攻击等。 . XSS 解决方案 常用的防止 XSS 技术包括： 与 SQL 注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的 script、。