以Windows 2000(2003) ＋ IIS ＋ ASP 平臺(tái)建設(shè)的Web 服務(wù)器是常用的一種建站方式。Windows 2000(2003)操作系統(tǒng)的一個(gè)主要特色就是將IIS 融入其內(nèi)核之中，并提供一些用來(lái)配置和維護(hù)軟件的向?qū)Чぞ�，使�?gòu)建一個(gè)Internet 網(wǎng)站輕而易舉。但微軟操作系統(tǒng)的漏洞卻是不容忽視的，它給網(wǎng)站安全埋下了一顆無(wú)形的定時(shí)炸彈。不過(guò)，如果能夠在建站之初就對(duì)網(wǎng)站安全的細(xì)微之處加以注意和防范，就能使網(wǎng)站安全事半功倍。
本文結(jié)合筆者親歷實(shí)踐，詳細(xì)分析了使用這種模式建站所面臨的各個(gè)層次的安全問(wèn)題，并給出了相應(yīng)的解決方法，特別是一些細(xì)節(jié)性的問(wèn)題。
系統(tǒng)安全
微軟的操作系統(tǒng)以功能強(qiáng)大著稱，但其漏洞也層出不窮。因此，如果采用Windows 平臺(tái)作為Web 服務(wù)器，在安裝和配置時(shí)就要注意以下幾點(diǎn)：
(1)系統(tǒng)安裝完畢，應(yīng)該及時(shí)給系統(tǒng)打上各種補(bǔ)丁�？梢栽诜⻊�(wù)器上安裝360 安全衛(wèi)士，通過(guò)該軟件自動(dòng)掃描系統(tǒng)漏洞，并下載安裝相應(yīng)的補(bǔ)丁。
(2)不要安裝多余的服務(wù)和協(xié)議。因?yàn)橛械姆⻊?wù)本身就存在漏洞，多余的協(xié)議也會(huì)占用系統(tǒng)資源，所以不妨把無(wú)用的服務(wù)和協(xié)議停止或關(guān)閉(例如FTP、STMP 等)。
(3)安裝專業(yè)的防病毒軟件和防火墻軟件。
網(wǎng)站配置安全
優(yōu)化可靠的IIS 配置是網(wǎng)站安全成功的基礎(chǔ)，不妨從以下幾方面做好安全配置：
(1)盡量不要把網(wǎng)站安裝在默認(rèn)的C:\Inetpub\wwwroot\目錄下。
主要原因有兩個(gè)：一是C 盤是系統(tǒng)盤，很多因素都可能破壞系統(tǒng)，導(dǎo)致數(shù)據(jù)丟失等意外情況發(fā)生；二是如果選擇默認(rèn)安裝，黑客很容易就能猜出安裝的位置，并對(duì)網(wǎng)站實(shí)施攻擊�？梢园惭b在除系統(tǒng)盤外的其他分區(qū)，并刪除默認(rèn)建立的站點(diǎn)的虛擬目錄，停止默認(rèn)Web 站點(diǎn)，即刪除對(duì)應(yīng)的文件目錄C:\Inetpub，配置所有站點(diǎn)的公共設(shè)置，設(shè)置好相關(guān)的連接數(shù)限制。
(2)在配置網(wǎng)站安全策略時(shí)，在IIS 站點(diǎn)配置時(shí)如果沒(méi)有特殊要求，不要勾選“腳本資源訪問(wèn)”、“寫入”、“目錄瀏覽”這3 個(gè)選項(xiàng)。
不選“腳本資源訪問(wèn)”，能有效阻止客戶端運(yùn)行一些服務(wù)器端的程序；不選“寫入”，可防止客戶上傳一些可執(zhí)行文件；不選“目錄瀏覽”，就能使客戶端猜不出網(wǎng)站的路徑結(jié)構(gòu)。
同時(shí)，還要?jiǎng)h除所有不必要的應(yīng)用程序擴(kuò)展，只保留如asp、aspx 等有用的應(yīng)用程序擴(kuò)展。
(3)對(duì)上傳文件進(jìn)行嚴(yán)格的控制，一般不允許可執(zhí)行文件如exe、bat 等文件的上傳。
程序代碼安全
很多網(wǎng)站已經(jīng)部署了足夠的安全設(shè)備，但還是經(jīng)常遭遇黑客攻擊或病毒入侵，這就要考慮一下問(wèn)題是否出在程序代碼不安全或?qū)傩栽O(shè)置不當(dāng)之上。
例如下面的案例。
案例：整個(gè)網(wǎng)站看起來(lái)很正常，但在打開首頁(yè)或其他某一頁(yè)面時(shí)出現(xiàn)空白，或彈出其他頁(yè)面。如果不安裝個(gè)人防火墻，不知道問(wèn)題出在哪里；如果安裝了個(gè)人防火墻，則會(huì)彈出諸如“攔截到一個(gè)木馬或惡意廣告頁(yè)面URL:http://ff1114.2288.org”的提示信息。
這時(shí)，如果您打開網(wǎng)站首頁(yè)文件或數(shù)據(jù)庫(kù)連接文件index.asp 或者default.asp、conn.asp 等，就會(huì)發(fā)現(xiàn)文件最后一行寫入了一句掛馬代碼，如或
因此，網(wǎng)站配置好后，在應(yīng)用程序開發(fā)與管理中要做好程序代碼的安全工作。
1. 將網(wǎng)站的程序文件改為“只讀”屬性
一般寫入掛馬代碼的多是index.asp、default.asp、conn.asp、top.asp 等文件，從安全角度考慮，建議將網(wǎng)站中的文件除必要數(shù)據(jù)庫(kù)文件和JS 刷新文件外，均設(shè)置為“只讀”，防止黑客在程序中寫入語(yǔ)句。
2. 防止SQL 注入
許多網(wǎng)站程序在編寫時(shí)，沒(méi)有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，使應(yīng)用程序存在安全隱患。用戶可以提交一段數(shù)據(jù)庫(kù)查詢代碼(在瀏覽器地址欄中，通過(guò)正常的WWW 端口訪問(wèn))，根據(jù)程序返回的結(jié)果獲得某些想要知道的數(shù)據(jù)，這就是所謂的SQL 注入。
對(duì)于這種情況， 如果程序是自行開發(fā)的， 一般的HTTP 請(qǐng)求不外乎GET 和POST，所以只要在文件中過(guò)濾所有POST 或者GET 請(qǐng)求中的參數(shù)信息中的非法字符即可。如果是采用動(dòng)易等免費(fèi)代碼的，一般都有防SQL 注入功能，只要將該保護(hù)功能開啟即可。
3. 關(guān)閉不必要的“注冊(cè)”和“忘記密碼”等功能
很多網(wǎng)站采用的都是網(wǎng)上免費(fèi)的源碼，如動(dòng)易、風(fēng)訊等，但這些程序中也會(huì)有一些漏洞，如動(dòng)易中的“忘記密碼”很容易被人猜出用戶的問(wèn)題答案，并最終修改密碼，獲得一定的權(quán)限。因此，如果沒(méi)特別需要，建議關(guān)掉“注冊(cè)”和“忘記密碼”這兩個(gè)功能。
數(shù)據(jù)庫(kù)安全
數(shù)據(jù)庫(kù)是一個(gè)網(wǎng)站的核心，如果數(shù)據(jù)庫(kù)出現(xiàn)安全問(wèn)題，輕則數(shù)據(jù)泄密，重則數(shù)據(jù)全毀，很可能會(huì)造成無(wú)法挽回的損失。因此，加強(qiáng)數(shù)據(jù)庫(kù)安全是每位網(wǎng)管工作者必須考慮的內(nèi)容。
(1)如果數(shù)據(jù)庫(kù)采用Access，由于服務(wù)器端的mdb 文件可以被用戶下載，數(shù)據(jù)庫(kù)將變得很危險(xiǎn)。
一般情況下，Access 數(shù)據(jù)庫(kù)文件存放在相應(yīng)的Web 目錄中，很多黑客就是利用這種規(guī)律來(lái)查找并下載數(shù)據(jù)庫(kù)文件的，進(jìn)而竊取重要的數(shù)據(jù)。因此，如果采用Access 數(shù)據(jù)庫(kù)，就要將數(shù)據(jù)庫(kù)文件的后綴名由mdb 改為asp 或asa，還要更改數(shù)據(jù)庫(kù)文件夾的習(xí)慣名稱data 或database 等，并轉(zhuǎn)移數(shù)據(jù)庫(kù)的位置。特別是對(duì)于下載的模板，一般數(shù)據(jù)庫(kù)存放
在特定的位置，很容易被人猜出。因此，可以采用改變數(shù)據(jù)庫(kù)文件存儲(chǔ)位置的方法，將數(shù)據(jù)庫(kù)文件存放在Web 目錄以外的某個(gè)文件夾中，讓黑客難以猜測(cè)存儲(chǔ)位置。同時(shí)，修改好數(shù)據(jù)庫(kù)連接文件(如conn.asp)中的數(shù)據(jù)庫(kù)文件相應(yīng)信息。這樣Access 數(shù)據(jù)庫(kù)文件就安全多了。
(2)對(duì)于專用的MSSQL 數(shù)據(jù)庫(kù)服務(wù)器，可以設(shè)置TCP/IP 篩選和IP 策略，對(duì)外只開放1433。
由于SQL Server 不能更改或刪除sa 用戶，因此必須為這個(gè)賬號(hào)設(shè)置一個(gè)非常強(qiáng)壯的密碼。當(dāng)然，最好不要在數(shù)據(jù)庫(kù)應(yīng)用中使用sa 賬號(hào)，只有當(dāng)沒(méi)有其他方法登錄到SQL Server(例如，當(dāng)其他系統(tǒng)管理員不可用或忘記了密碼)時(shí)才使用sa。
建議數(shù)據(jù)庫(kù)管理員新建立個(gè)擁有與sa 一樣權(quán)限的超級(jí)用戶來(lái)管理數(shù)據(jù)庫(kù)。使用混合身份驗(yàn)證, 加強(qiáng)數(shù)據(jù)庫(kù)日志的記錄, 審核數(shù)據(jù)庫(kù)登錄事件的“成功和失敗”, 刪除一些不需要的和危險(xiǎn)的OLE 自動(dòng)存儲(chǔ)過(guò)程等。
總之，沒(méi)有絕對(duì)安全的方法，只有從細(xì)小處著手，加強(qiáng)安全意識(shí)，注意安全防范，才可能打造一個(gè)相對(duì)安全可靠的網(wǎng)站。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：網(wǎng)站安全從小處著手
本文網(wǎng)址：http://www.oesoe.com/html/consultation/1083946845.html
相關(guān)文章
