網(wǎng)站安全需求分析 |
發(fā)布時(shí)間: 2012/5/21 17:54:34 |
網(wǎng)上隨處可見的攻擊軟件,攻擊者不需要對(duì)網(wǎng)絡(luò)協(xié)議的深厚理解基礎(chǔ),即可完成諸如更換web網(wǎng)站:(mszdt.com)主頁(yè),到取管理員密碼,破壞整個(gè)網(wǎng)站:(mszdt.com)數(shù)據(jù)等等攻擊。而這些攻擊過程中產(chǎn)生的網(wǎng)絡(luò)層數(shù)據(jù),和正常數(shù)據(jù)沒有什么區(qū)別。 很多人認(rèn)為,在網(wǎng)絡(luò)中不斷部署防火墻,入侵檢測(cè)系統(tǒng)(IDS),入侵防御系統(tǒng)(IPS)等設(shè)備,可以提高網(wǎng)絡(luò)的安全性。但是為何基于應(yīng)用的攻擊事件仍然不斷發(fā)生?其根本的原因在于傳統(tǒng)的網(wǎng)絡(luò)安全設(shè)備對(duì)于應(yīng)用層的攻擊防范,作用十分有限。目前的大多防火墻都是工作在網(wǎng)絡(luò)層,通過對(duì)網(wǎng)絡(luò)層的數(shù)據(jù)過濾(基于TCP/IP報(bào)文頭部的ACL)實(shí)現(xiàn)訪問控制的功能;通過狀態(tài)防火墻保證內(nèi)部網(wǎng)絡(luò)不會(huì)被外部網(wǎng)絡(luò)非法接入。所有的處理都是在網(wǎng)絡(luò)層,而應(yīng)用層攻擊的特征在網(wǎng)絡(luò)層次上是無法檢測(cè)出來的。IDS,IPS通過使用深包檢測(cè)的技術(shù)檢查網(wǎng)絡(luò)數(shù)據(jù)中的應(yīng)用層流量,和攻擊特征庫(kù)進(jìn)行匹配,從而識(shí)別出以知的網(wǎng)絡(luò)攻擊,達(dá)到對(duì)應(yīng)用層攻擊的防護(hù)。但是對(duì)于未知攻擊,和將來才會(huì)出現(xiàn)的攻擊,以及通過靈活編碼和報(bào)文分割來實(shí)現(xiàn)的應(yīng)用層攻擊,IDS和IPS同樣不能有效的防護(hù)。 主要網(wǎng)站:(mszdt.com)安全問題及其危害 常見的Web攻擊分為兩類:一是利用Web億恩科技服務(wù)器的漏洞進(jìn)行攻擊,如CGI緩沖區(qū)溢出,目錄遍歷漏洞利用等攻擊;二是利用網(wǎng)頁(yè)自身的安全漏洞進(jìn)行攻擊,如SQL注入,跨站腳本攻擊等。常見的針對(duì)Web應(yīng)用的攻擊有: 緩沖區(qū)溢出——攻擊者利用超出緩沖區(qū)大小的請(qǐng)求和構(gòu)造的二進(jìn)制代碼讓億恩科技服務(wù)器執(zhí)行溢出堆棧中的惡意指令 Cookie假冒——精心修改cookie數(shù)據(jù)進(jìn)行用戶假冒 認(rèn)證逃避——攻擊者利用不安全的證書和身份管理 非法輸入——在動(dòng)態(tài)網(wǎng)頁(yè)的輸入中使用各種非法數(shù)據(jù),獲取億恩科技服務(wù)器敏感數(shù)據(jù) 強(qiáng)制訪問——訪問未授權(quán)的網(wǎng)頁(yè) 隱藏變量篡改——對(duì)網(wǎng)頁(yè)中的隱藏變量進(jìn)行修改,欺騙億恩科技服務(wù)器程序 拒絕服務(wù)攻擊——構(gòu)造大量的非法請(qǐng)求,使Web億恩科技服務(wù)器不能相應(yīng)正常用戶的訪問 跨站腳本攻擊——提交非法腳本,其他用戶瀏覽時(shí)盜取用戶帳號(hào)等信息 SQL注入——構(gòu)造SQL代碼讓億恩科技服務(wù)器執(zhí)行,獲取敏感數(shù)據(jù) 下面列舉簡(jiǎn)單的兩個(gè)攻擊手段進(jìn)行說明。 SQL注入 對(duì)于和后臺(tái)數(shù)據(jù)庫(kù)產(chǎn)生交互的網(wǎng)頁(yè),如果沒有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行全面的判斷,就會(huì)使應(yīng)用程序存在安全隱患。用戶可以在可以提交正常數(shù)據(jù)的URL或者表單輸入框中提交一段精心構(gòu)造的數(shù)據(jù)庫(kù)查詢代碼,使后臺(tái)應(yīng)用執(zhí)行攻擊著的SQL代碼,攻擊者根據(jù)程序返回的結(jié)果,獲得某些他想得知的敏感數(shù)據(jù),如管理員密碼,保密商業(yè)資料等。 跨站腳本攻擊 由于網(wǎng)頁(yè)可以包含由億恩科技服務(wù)器生成的、并且由客戶機(jī)瀏覽器解釋的文本和 HTML 標(biāo)記。如果不可信的內(nèi)容被引入到動(dòng)態(tài)頁(yè)面中,則無論是網(wǎng)站:(mszdt.com)還是客戶機(jī)都沒有足夠的信息識(shí)別這種情況并采取保護(hù)措施。攻擊者如果知道某一網(wǎng)站:(mszdt.com)上的應(yīng)用程序接收跨站點(diǎn)腳本的提交,他就可以在網(wǎng)上上提交可以完成攻擊的腳本,如JavaScript、VBScript、ActiveX、HTML 或 Flash 等內(nèi)容,普通用戶一旦點(diǎn)擊了網(wǎng)頁(yè)上這些攻擊者提交的腳本,那么就會(huì)在用戶客戶機(jī)上執(zhí)行,完成從截獲帳戶、更改用戶設(shè)置、竊取和篡改 cookie 到虛假?gòu)V告在內(nèi)的種種攻擊行為。 隨著攻擊向應(yīng)用層發(fā)展,傳統(tǒng)網(wǎng)絡(luò)安全設(shè)備不能有效的解決目前的安全威脅,網(wǎng)絡(luò)中的應(yīng)用部署面臨的安全問題必須通過一種全新設(shè)計(jì)的高性能防護(hù)應(yīng)用層攻擊的安全防火墻——應(yīng)用防火墻來解決。應(yīng)用防火墻通過執(zhí)行應(yīng)用會(huì)話內(nèi)部的請(qǐng)求來處理應(yīng)用層。應(yīng)用防火墻專門保護(hù)Web應(yīng)用通信流和所有相關(guān)的應(yīng)用資源免受利用Web協(xié)議發(fā)動(dòng)的攻擊。應(yīng)用防火墻可以阻止將應(yīng)用行為用于惡意目的的瀏覽器和HTTP攻擊。這些攻擊包括利用特殊字符或通配符修改數(shù)據(jù)的數(shù)據(jù)攻擊,設(shè)法得到命令串或邏輯語(yǔ)句的邏輯內(nèi)容攻擊,以及以賬戶、文件或億恩科技主機(jī)為主要目標(biāo)的目標(biāo)攻擊。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |