（计算机应用技术专业论文）基于windows+server的虚拟主机web安全研究.pdf

摘要 随着互联网迅猛发展，虚拟主机w e b 以其经济和便捷等优点，成为越来越多政府、 学校、企业和社会团体等提供w e b 服务的主要方式。虚拟主机w e b 应用范围和规模不 断扩大的同时，针对此的网络攻击也在不断加剧。因此，如何保证虚拟主机w e b 安全， 成为亟需解决的问题之一。 本文以聊城大学虚拟主机w e b 为主要研究对象，结合w e b 服务模型分析，从技术 和管理两个大方面对虚拟主机w e b 安全进行了详细探究。主要工作如下： 1 综述了虚拟主机w e b 的相关知识，如虚拟主机的概念、w e b 服务模型和w e b 攻 击主要方式等，简要介绍了聊城大学虚拟主机w e b 的现状。 2 着重研究了几种严重影响主机通讯安全和w e b 程序及数据库安全的主要攻击方 式如d d o s 攻击、a r p 攻击和s q l 注入攻击等，并提出了相应地防御措施和技术。 3 结合服务器攻击的一般步骤，从w i n d o w s2 0 0 3 的安全、i i s 的安全和s e r vu 安 全的三个方面进行研究，提出了加强w e b 服务器安全的有关措施和技术。 4 在分析当前w e b 管理主要涉及人员以及存在问题的基础上，提出四点加强w e b 安全管理的措施。 本文基本形成了一套虚拟主机w e b 安全体系解决方案。它可以有效地解决其安全问 题，提高安全性；不仅如此，它对于广大个人电脑和其它应用服务器的安全也具有指导 作用和借鉴意义。 关键词：虚拟主机，w e b 安全，网络安全 r e s e a r c ho fw e b s e c u r i t yo f v i r t u a lh o s t i n gb a s e do nw i n d o w s l ix i n ( m e c h a t r o n i ce n g i n e e r i n g ) d i r e c t e db yp r o f d u a ny o u x i a n g a b s t r a c t w i t ht h er a p i dd e v e l o p m e n to fi n t e r n e t , v i r t u a lh o s t i n gw e bb e c o m e st h em a i nm e a n so f w e bs e r v i c e s ，w h i c hi s p r o v i d e db yg o v e m m e n ：t ，s c h o o l ，e n t e r p r i s e ，n o n g o v e r n m e n t a l o r g a n i z a t i o na n ds oo n a tt h es a m et i m e ，n e t w o r ka t t a c k sa r eg e t t i n gm o r ea n dm o r ew o r s e w i t ht h ec o n t i n u o u se x p a n s i o no ft h ev i r t u a lh o s t i n gw e ba p p l i c a t i o n a sar e s u l t ，h o wt o 睨l s u r et h ev i r t u a lh o s t i n gw e bs e c u r i t yh a sb e c o m eo n eo ft h ei s s u e st ob es o l v e du r g e n t l y t h i sp a p e rd i dr e s e a r c ho nv i r t u a lh o s t i n gw e bo fl i a o c h e n gu n i v e r s i t y c o m b i n i n gw i t h t h ea n a l y s i so fw e bs e r v i c em o d e l ，t h ep a p e rw e n to ns t u d y i n go nt h es e c u r i t yo fv i r t u a l h o s t i n gw e b f r o mt e c h n o l o g ya n dm a n a g e m e n ti nd e t a i l t h em a i no n e sa r ea sf o l l o w s ： i t h i sp a p e rs u m m a r i z e dt h er e l a t e dk n o w l e d g eo fv i r t u a lh o s t i n gw e b ，s u c ha st h e c o n c e p to fv i r t u a lh o s t i n g ，t h ew e bs e r v i c em o d e l ，t h em a i nw e b a t t a c k sa n ds oo n , a n dt h e n b r i e f l yi n t r o d u c e dt h ep r e s e n ts i t u a t i o no fv i r t u a lh o s t i n gw e b o fl i a o c h e n gu n i v e r s i t y 2 t h ep a p e rf o c u s e do nan u m b e ro fm a i na t t a c k sw h i c hh a db e e nm a k i n gs e r i o u s i m p a c to nt h es e c u r i t yo fv i r t u a lh o s t i n gc o m m u n i c a t i o n s ，w e bp r o c e d u r e sa n dd a t a b a s e ，s u c h a sd d o sa t t a c k s ，a r pa t t a c k sa n ds q li n j e c t i o na t t a c k sa n ds oo n , a n dp u tf o r w a r ds o m e c o r r e s p o n d i n gd e f e n s i v em e a s u r e sa n dt e c h n i q u e s 3 c o m b i n e dw i t ht h eg e n e r a lp r o c e d u r eo fs e r v e ra t t a c k s , t h i sp a p e rc o n d u c t e da r e s e a r c ho nt h ew i n d o w s2 0 0 3s e c u r i t y ，t h ei i ss e c u r i t ya n dt h es e r v us e c u r i t y ，a n d p r e s e n t e ds o m em e a s u r e sa n dt e c h n i q u e st oe n h a n c et h ew e bs e r v e r ss e c u r i t y 4 o nt h eb a s i so fa n a l y z i n gt h em a i np e r s o n n e li n v o l v e da sw e l la st h ee x i s t e n tp r o b l e m s i nc u r r e n tw e bm a n a g e m e n t ，t h i sp a p e rp r o p o s e df o u rm e a s u r e st os 仃e n g t h e nw e bs a f e t y m a n a g e m e n t t h i sp a p e rh a sb a s i c a l l yf o r m e das e to fs o l u t i o n st ov i r t u a lh o s t i n gw e bs e c u r i t ys y s t e m i tc a nn o to n l ys o l v et h es e c u r i t yp r o b l e mi na ne f f e c t i v ew a yt oe n h a n c ei t ss e c u r i t y , b u ta l s o o f f e rs o m er e f e r e n c eo ft h e s e c u r i t yf o rt h eg e n e r a l p e r s o n a lc o m p u t e r sa n dt h eo t h e r a p p l i c a t i o ns e r v e r s k e y w o r d s ：v i r t u a lh o s t i n g ，w e bs e c u r i t y ，n e t w o r ks e c u r i t y 关于学位论文的独创性声明 本人郑重声明：所呈交的论文是本人在指导教师指导下独立进行研究工作所取得的 成果，论文中有关资料和数据是实事求是的。尽我所知，除文中已经加以标注和致谢外， 本论文不包含其他人已经发表或撰写的研究成果，也不包含本人或他人为获得中国石油 大学( 华东) 或其它教育机构的学位或学历证书而使用过的材料。与我一同工作的同志 对研究所做的任何贡献均已在论文中作出了明确的说明。 若有不实之处，本人愿意承担相关法律责任。 学位论文作者签名： 醐a 7 年抄徊 学位论文使用授权书 本人完全同意中国石油大学( 华东) 有权使用本学位论文( 包括但不限于其印 刷版和电子版) ，使用方式包括但不限于：保留学位论文，按规定向国家有关部门( 机 构) 送交学位论文，以学术交流为目的赠送和交换学位论文，允许学位论文被查阅、 借阅和复印，将学位论文的全部或部分内容编入有关数据库进行检索，采用影印、 缩印或其他复制手段保存学位论文。 保密学位论文在解密后的使用授权同上。 学位论文作者 指导教师签名 日期：) 呷年，月叫日 日期：沙罗年，月歹日 中国石油大学( 华东) 硕士论文 第1 章绪论 1 1 课题提出的背景及研究意义 随着互联网络的迅猛发展，w e b 以其快捷、无距离和互动性等特点在众多媒体中脱 颖而出，正在成为政府、学校、企业和社会团体等进行信息发布、形象展示、业务拓展、 客户服务、内部沟通等的重要阵地，并且其数量正以惊人的速度增加。据2 0 0 8 年7 月 的中国互联网络发展状况统计报告统计，目前中国网站数量已达1 9 1 9 万个，年增 长率达到4 6 3 ，继续保持快速增长的势头， 1 1 其中大部分是建构在虚拟主机的环境中。 近年来，具有较为经济和便捷等优点的虚拟主机技术，现已被我国大多数高校用予 提供学校内各部门的w e b 服务。这不仅对内起到了信息交流资源共享、方便办公管 理和教学活动以及丰富校园文化的作用，对外也是学校与外界交流的窗口，直接影响到 学校的形象。但是，由于黑客、病毒、服务器、网络和网站代码等所带来的问题，使得 虚拟主机w e b 极易受到攻击，严重影响网站的安全性和可访问性。在2 0 0 1 年7 - - 9 月 和2 0 0 3 年8 月期间，几种“蠕虫病毒的爆发，校园网站很多都受到了不同程度的攻 击，影响了正常服务。，这在很大程度上说明了校园网站的脆弱性因此，如何来提高校 园网站的可靠性、安全性，已成为学校最关注的话题、学校网站建设的重要问题。一 ，网站安全目前已经发展成为一个跨学科的综合性学科，它包括通讯技术、网站技术、 计算机软件和硬件技术、密码学、网站安全与计算安全技术等，对于w e b 系统开发和 管理人员来说，保证w e b 站点的安全是_ 个关键而又复杂的问题。对于涉及到操作系 统、网络安全、代码安全等方面的虚拟主机w e b 安全问题，总体上可能一时无从下手。 但是，如果我们利用分解思想，先逐一对虚拟主机w e b 安全涉及到的方面进行研究， 而后结合虚拟主机w e b 的应用特点进行扬弃，最终这个问题将迎刃而解。： w e b 是i n t e m e t 的核心和主要表现形式。 2 w e b 站点的安全直接影响到i n t e m e t 的安 全。虚拟主机是架设w e b 的主要方式，同时由于a s p 的易用性和i i s 强大的功能及维 护的方便性，w i n d o w s 2 0 0 3 + i i s + a s p ( n e t ) 现已成为利用虚拟主机建站的主流解决方 案。因此，用分解思想去分析、解构w i n d o w s 2 0 0 3 + i i s + a s p ( a s e n e t ) 模式的虚拟主 机w e b 安全具有十分重要的实际意义。 1 2 研究目标和研究内容 针对聊城大学虚拟主机w e b 安全的现状，利用分解思想，逐个进行分析和研究， 基本建立和形成虚拟主机w e b 安全防御体系，最终提出一套操作性强、面向实际应用、 第1 章绪论 适合聊城大学虚拟主机w e b 安全的解决方案，进而进行实施并向其他高校推广。 聊城大学虚拟主机w e b 是本课题主要研究对象和实践对象。其虚拟主机w e b 安全涉 及到技术和管理两个层面，技术上涉及到通信技术、网站技术、计算机软件、硬件设计 技术、密码学、网站安全与计算机安全技术等多个学科，管理上涉及到总体上如何监督 和指导，个体上如何落实和负责。技术上具体说来，主要有服务器和操作系统的安全、 w e b 通信安全、w e b 服务器的配置安全、w e b 应用程序及脚本编程安全、网站后台数据的 安全和网站内容完整性安全等。研究主要是围绕这些方面展开。 1 3 课题的创新性 首先，将分解思想应用于虚拟主机w e b 安全的课题研究。 由于虚拟主机w e b 安全的复杂性，必须利用分解思想对其解构，才能真正完成对 此问题的研究。下一步，我们同样可以把分解思想应用于网络安全：因为网络安全是一 个更为复杂的问题，单靠某一个人短时间内很难解决；而高校和研究所又有一批专门技 术人才，完全可以分工合作解决这一问题。 其次，本课题致力于建立和形成一套虚拟主机w e b 安全体系解决方案 目前，虽然高校中对虚拟主机的w e b 安全作了一些研究，但是研究人数仍然比较 少，研究成果也没形成体系。而公司企业，出于各方面的考虑，也没能将其研究成果公 布于众，为大家共享。本课题将致力于建立和形成一套虚拟主机w e b 安全体系解决方 案并推广于社会，为提高虚拟主机的w e b 安全性做一些工作。 再次，本课题的研究成果有广泛的应用范围 本研究成果，除了对虚拟主机w e b 安全有重要的指导作用外，对众多的个人p c 用 户的系统安全也居有重要的指导作用。不仅如此，对于提供其他网络服务的应用服务器 安全，也具有重要的借鉴意义。 、最后，本课题从多个方面分析和研究虚拟主机w e b 安全 本课题从虚拟主机w e b 安全的涉及到的管理与技术两个层面，对虚拟主机w e b 安 全进行了分析，并在此基础上提出了相应的方案和措施。 1 4 论文组织结构 本文共分七章，具体结构如下： 第1 章“绪论 ，阐述了课题提出的背景及研究意义、研究目标和研究内容，介绍 了课题的创新性， 2 中国石油大学( 华东) 硕士论文 第2 章“虚拟主机w e b 概述 ，从虚拟主机的概念、特点、原理、分类和现状五个 方面对虚拟主机进行概述，从w e b 服务模型和w e b 攻击的方式两个方面对w e b 进行简 单阐述，最后介绍了聊城大学虚拟主机w 曲的现状。 第3 章“w e b 通讯中的安全 ，在w e b 通讯安全概述的基础上，着重研究了基于虚 拟主机的d d o s 攻击、a r p 攻击和计算机病毒攻击，并提出了相应的防御措施。 第4 章“w e b 程序及其数据库安全”，就a s p 和a s e n e t 的工作原理和常用的a c c e s s 数据库连接方式进行介绍的基础上，着重分析了w e b 程序及其数据库攻击的主要方式 和防御措施。 第5 章“w e b 服务器的安全 ，对服务器和操作系统进行了概述，介绍了服务器攻 击的一般步骤，并提出了一系列的服务器加固措施。 第6 章“w e b 管理的安全 ，分析了目前w e b 管理的主要问题和涉及人员情况，并 提出了加强w | e b 安全管理的措施。 第7 章“结束语 ，对全文进行了总结，并提出了下_ 步需要继续做的工作。 3 第2 章虚拟主机w e b 概述 第2 章虚拟主机w r e b 概述 i n t e m e t 近年来的迅猛发展给网络技术，特别是w w w 技术带来了巨大的冲击。许 多商业公司和院校希望能用多个域名，但由于经济原因或者基于管理上的方便，不希望 用不同的机器来为不同的域名服务。而很多个人用户也希望能拥有自己独立的域名，由 于这类用户群体的巨大基数值，让每一个用户拥有一台独立的服务器来为个人域名服务 并不现实。为此，4 一种新的技术虚拟主机w e b 技术应运而生。 2 1 虚拟主机概述 2 1 1 虚拟主机的概念与特点 虚拟主机【3 】( v m u a lh o s t v i r t u a ls e r v e r v i r t u a ls u b h o s t i n g ) 是使用特殊的软硬件技 术，把一台运行在因特网上的服务器主机分成若干台“虚拟 的主机对外提供服务，每 一台虚拟主机都具有独立的域名或地址，具有完整的服务器功能，虚拟主机之间完全独 立，并可由用户自行管理，在外界看来，每一台虚拟主机和一台独立的主机完全一样。 采用虚拟主机可以降低用户的硬件费用、网络维护费用和通讯服务费用，同时还可以大 大地缓解互联网上i p 地址和服务器等资源的不足。 虚拟主机主要有以下两个特点： ( 1 ) 一对多 同一台硬件和操作系统上，运行着为多个用户打开的不同的服务器程序，即一个主 机分成若干个虚拟的主机。 ( 2 ) 多对一 而各个用户拥有自己的一部分系统资源( i p 地址、文件存储空间、内存、c p u 时间 等) 。 2 1 2 虚拟主机的原理与分类 2 1 2 1 原理 h y p e rt e x tt r a n s f e rp r o t o c o l ( 超文本传输协议) 【4 】，是简单的应用级协议，用来访 问超媒体文档。h t t p 的主要用途是作为w o r l dw i d ew e b 的基本传输协议。 h t t p 会话简短而清晰。客户打开到服务器的连接，发送一个请求，并等待应答。 在服务器接受到请求时，它生成一个应答，将应答发送给客户，并关闭连接。请求和应 答消息都具有固定的格式；： 1 9 9 6 年5 月发表了“h t l l p 1 0 ”的规范( r f c l 9 4 5 ) ，由于h ，i ， 限的使用使得以前基 4 中国石油大学( 华东) 硕士论文 于文本的i n t e m e t 成长迅速，而w r e b 通信量的飞速发展更驱使基本h t t p 协议的扩展， 1 9 9 7 年1 月r f c 2 0 6 8 的重新定义“h t t p 1 1 “协议，该协议在“h t t p 1 0 ”协议上有 了比较完善的补充。其中最主要一点，就是扩展了单个i p 地址与多个w e b 站点的一对 多关系，这个扩展使得虚拟主机理论上可以实现。 每一个h t t p 请求都包括一个请求方法( m e t h o d ) 和请求头字段( r e q u e s th e a d e r f i e l d s ) ，方法指出客户请求服务器要执行的一般操作，请求头字段允许客户把附加的请 求和客户本身的信息传给服务器。“h t t p 1 1 协议的请求头字段比“h t t p 1 0 协议 增加了一个重要的字段“h o s t ”，该字段表明请求的域名( 见图2 1 ，图2 2 ) 。 r e q u e s t h e a d e r = a u t h o r i z a t i o n ； f r o m i f m o d i f i e d - s i n c e r e f e r e r u s e r - a g e n t 图2 - 1h t t p l 0 的请求头字段 f i 9 2 1h t t p l 0r e q u e s th e a d e rf i e l d s r e q u e s t - h e a d e r = a u t h o d z a t i o n ； a c c e p t a c c e p t e n c o d i n g ia c c e p t l a n g u a g e h u t h o r i z a t i o n ic o n t e n t - e n c o d i n g ie x p e c t if r o m h o s t i f - m a t c h i f - m o d i f i e d - s i n c e i f - n o n e - m a t c h li f - r a n g e i f - u n m o d i f i e d - s i n c e m a x - f o r w a r d s ip r o x y - a u t h o r i z a t i o n r a n g e r e f e r e r lt e iu s e r a g e n t 图2 - 2h t t p l 1 的请求头字段 f i 9 2 2h t t p i 1r e q u e s th e a d e rt 胁i d s 客户端通过t c p i p 协议把请求字段域发给服务器，t c p i p 通过d n s ( d o m a i nn a m e s e w e r ) 查找到对应i p 地址，找到相应服务器。虚拟主机服务实际上就是在服务器端提 供一张不同域名和本地目录的映射表。服务器取得r e q u e s t - h e a d e r 以后，提出h o s t 项， 查找自己设置的映射表，把相应目录的文件作为返回消息发回给客户端。这样，就实现 第2 章虚拟主机w e b 概述 了单个口地址与多个w e b 站点的一对多关系， 2 1 2 2 分类 一般地，w w w 虚拟主机有三种工作方式：基于端口、基于母、基于主机头。 5 1 ( 1 ) 基于端口的w w w 虚拟主机 物理服务器在不同的端口守候客户机的请求，各w w w 虚拟主机拥有不同的端口。 用户访问不同虚拟主机时，要使用不同的端口号。由于这种方式的w w w 虚拟主机端 口号与标准i n t e m e tw w w 服务端口号8 0 不一致，因而应用意义不大。 ( 2 ) 基于巾的w w w 虚拟主机 物理服务器绑定多个少地址，通过d n s 设置，不同主机名解析到不同的坤地址， 服务器根据用户请求的目的i p 地址来决定哪个w w w 虚拟主机提供服务。由于这种方 式需要占用多个口地址，对口地址空间有限的学校来说也不是好方法 ( 3 ) 基于主机头的w w w 虚拟主机 物理服务器绑定一个i p 地址，通过d n s 设置，不同主机名解析到同一p 地址，服 务器根据用户浏览器请求的主机头名决定哪个w w w 虚拟主机提供服务。这种方式理 论上可以给无限多个虚拟域名提供服务，占用资源少，管理方便，因而非常适合应用于 校园网。这种方式最大的缺点是用户浏览器必须支持h t t p l 1 协议。 2 1 3 虚拟主机的现状 2 1 3 1 虚拟主机服务的应用现状 虚拟主机技术的出现，是对i n t e m e t 技术的重大贡献，更是广大i n t e r a c t 用户的福音。 现在，在上网用户数量众多和数据线路租用费用便宜的美国，以h a t e r n e t 平台服务 ( m p ) 为代表的资源外包( 包括虚拟主机服务) 已经成为业界的关注热点和发展趋势。目前， 美国已经有了诸如b l u e h o s t 、i xw e bh o s t i n g 、s t a r t l o g i c 等一批优秀的虚拟主机服务提 供商，不仅在美国国内开展服务，而且在我国应用影响也比较深。w e bh o s t i n gt a l k 作 为最全面的虚拟主机论坛，成为相关研究和应用的代表。当前，美国等发达国家的虚拟 主机业务市场竞争已十分激烈，几乎所有的美国公司( 包括一些家庭) 均在网络上设立了 自己的w e b 站点，其中有相当的部分采用的是虚拟主机。一 我国的虚拟主机技术和服务模式是从美国引进的，一直沿用至今。目前，虚拟主机 服务在中国正在蓬勃的发展之中，有很多企业和个人通过虚拟主机的方式已经建立了建 立了w e b 站点。据2 0 0 5 年网络中国公布，虚拟主机的应用也出现了对应的大幅度增长， 名列前茅的地区依旧为北京、上海和广东，西南、东北、华中等地区也呈现出稳定增长 6 中国石油大学( 华东) 硕士论文 的趋势。这些区域的基础设施和互联网普及程度普遍较高，因此，虚拟主机应用水平也 比较高。目前，中国也出现了一大批优秀的虚拟主机提供商，如中国万网、新网、新网 互联、商务中国、中国数据等。 2 1 3 2 虚拟主机实现的技术现状 随着i n t e m e t 的不断发展，用于实现虚拟主机服务的技术正在日臻完善。下面我们 就从实现虚拟主机服务所必需的操作系统、w e b s e r v e r , d a t a b a s e 三个方面作介绍。 ( 1 ) 目前，用于提供虚拟主机服务的操作系统主要有：w i n d o w s ，u n i x ，l i n u x 。 w i n d o w s 是虚拟主机行业的相对后来者，不过它已经迅速成为许多i p p 和基于w e b 的 虚拟主机管理信息系统的设计与实现开发商的选择目标。经过3 0 年的发展，u n i x 系统 以其卓越的稳定性和运行可靠性依然占据高端服务器领域的统治地位。基于l i n u x 的虚 拟主机是目前最为稳定，性能最优异的服务器环境，但其技术支持不如w i n d o w s 。 ( 2 ) 目前流行的w e bs e r v e r 有：a p a c h es e r v e r 、m i c r o s o f ti i s 、i p l a n e tw e bs e r v e r 等。 6 1 a p a e h es e r v e r 目前已成为世界上最流行的w e b 服务器软件之一。a p a c h e 属于自 由软件，特点是简单、速度快、性能稳定，但在易用性方面，a p a c h e 的管理界面也比 其他一些w e b 服务器要差。m i s c r o s o f ti i s ( i n t e m e ti n f o r m a t i o ns e r v e r ) 借助于w i n d o w s n t 2 0 0 0 2 0 0 3 操作系统在p c 界的绝对优势，成为当今使用最广泛的w e b 服务器之一。 m i c r o s o f ti i s 功能强大、使用方便，具有很高的执行效率、出色的安全保密性、易于管 理。i i s 变得普及的一个关键就是引入了a s p ，由于a s p 支持多种脚本语言，包括 j a v a s c n p t 、p e f l s c r i p t 以及v b s c r i p t ，使其可以很容易地访问到其他服务器的软件组件。 i p l a n e tw e bs e r v e r ( n e t s c a p ee n t e r p r i s es e r v e r ) 以能在众多的不同平台上运行见长，目前 仍拥有最高的市场占有率。其主要功能有：带有客户端授权的s s l ( s e c u r es o c k e tl a y e r ) 、 v e r i t y 的集成式检索器、s n m p 、出色的数据库联接功能及w e b 网站内容管理等。 。 ( 3 ) 在w e b 开发过程中常用的数据库有s q l s e v e r 、o r a c a l 、。m y s q l 、a c e s s 等。 s q l s e v e r 是m i c o r s o f t 公司的产品，具有强大的数据仓库，可为企业运作、电子商务和 移动计算机提供广泛的可伸缩的解决方案。o r a c l e 能在所有主流平台上运行( 包括 w i n d o w s ) ，用户操作较复杂，同时提供图形界面和命令行。m y s q l 是自由软件中非常 优秀的网络数据库系统软件，实现了非常高效的关系型数据库管理系统。a c c e s s 是 m i c r o s o f t 公司的桌面办公产品系列产品之一，目前已相当普及。作为桌面型数据库，其 数据处理效率低下，安全性不高，被广泛用于个人网站和不需存储大量数据的中小企业 网站。 7 第2 章虚拟主机w e b 概述 2 2w e b 概述 2 2 1w | e b 服务模型及分析 。w r e b 服务是基于客户朋艮务器模式的。服务器用于存放w e b 文档，用户通过客户机 上的浏览器进行站点浏览，服务器通过默认的端口与客户机进行连接。在建立连接之后， 客户机与服务器通过协议进行请求与应答。下图应用工作模型显示了应用服务的工作过 程。 图2 - 3w e b 服务工作模型 f i 9 2 。3w e bs e v i e c em o d e l 由w e b 服务工作模型可以看出，w e b 安全主要涉及到客户端浏览器安全、网络安 全( w e b 通讯安全) 、w e b 服务器安全、w e b 程序及数据库安全等方面。工作模型中， 主要涉及的人员有：w e b 访问者、w e b 制作者、w e b 信息发布维护者、w e b 服务器的维 护管理者和w e b 通讯依赖的网路建设与管理者。本文以下章节中主要重点围绕以上可 控的方面进行研究。 2 2 2w e b 安全的概念 w e b 安全是指计算机网络系统中的硬件、数据、程序等不会因为无意或恶意的原因 而遭到破坏、篡改、泄露，防止非授权的使用或访问，系统能够保持服务的连续性，以 及能够可靠的运行。 w e b 安全包括物理安全和运行安全。物理安全是指系统机器及其外设的安全，保证 其不遭受各种物理破坏，如被盗、火灾等等。运行安全是指系统及其数据的完整性 ( i n t e g r i t y ) 、保密性( c o 曲d e n t i a l i 动和可用性( a v a i l a b i l 时) 【7 】【8 】，这三点也是计算机安全中 的三个中心目标，是网站安全构建的原则。 ( 1 ) 完整性：保证非授权操作不能修改或破坏数据，保证数据不延迟、不乱序和 不丢失，保证网站系统存储或传输数据正确。 ( 2 ) 保密性：保证信息在存储和传输时不被窃取，保证数据不被非授权用户利用， 8 中国石油大学( 华东) 硕士论文 保证系统数据不被泄露。 ( 3 ) 可用性：保证合法用户访问并按要求顺利使用数据的特性，保证数据和计算 机资源的唯一性、准确性和可实用性，保证数据不被滥用。 在其他关于计算机安全的文献中，除了上述的三个安全目标，还有验证性 ( a u t h e n t i c a t i o n ) 和不可否认性( n o n r e p u d i a t i o n ) 等安全目标。验证性保证信息接受方接受 的消息确实是从它声明的来源发出的。不可否认性防止发送方或接受方否认信息的传 送。网站应该按照上述计算机安全目标构建网站安全系统，这样才能最大限度的保证网 站运行安全。 2 2 3w e b 的主要攻击方式 由图2 1 知，针对w e b 攻击的主要对象有：客户端、w e b 网络( 基于服务器的) 、 w e b 服务器( 操作系统及应用程序) 、w e b 程序及数据库。其主要的攻击方式如下： ( 1 ) 拒绝服务攻击( d o s ) 拒绝服务攻击是指利用大量的虚假请求或电子邮件信息来攻击服务器，致使服务器 无法正常处理提交的合法请求【9 1 。归纳起来，主要的攻击方式有：p i n go fd e a t h 、l a n d 攻击、s y nf l o o d 、u d pf l o a d 、s m u r f 攻击、畸形消息攻击、d d o s 攻击。 ( 2 ) a r p 攻击 a r p 攻击就是通过伪造i p 地址和m a c 地址实现a r p 欺骗，能够在网络中产生大量 的a r p 通信量使网络阻塞，攻击者只要持续不断的发出伪造的a r p 响应包就能更改目标 主机a r p 缓存中的i p m a c 条目，造成网络中断或中间人攻击。b 0 ( 3 ) 计算机病毒攻击 计算机病毒( c o m p u t e rv i r u s ) 是指编制或者在计算机程序中插入的破坏计算机功能 或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。t i l l 网络环境下的计算机病毒主要是以网络为平台，对计算机系统和网络的安全运行产生威 胁。 ( 4 ) s q l 注入攻击 s q l 注入式攻击( s q l 蝎e c t i o n ) ，就是攻击者把s q l 命令插入到w e b 表单的输入 域或页面请求的查询字符串，欺骗服务器执行恶意的s q l 命令。这是a s p ( n e t ) 网 页主要攻击方式之一。 ( 5 ) 跨站攻击 跨站点脚本攻击( x s s ) 是指攻击者利用网站程序对用户输入过滤不足，输入可以显 9 第2 章虚拟主机w e b 概述 示在页面上对其他用户造成影响的h t m l 代码，从而盗取用户资料、利用用户身份进 行某种动作或者对访问者进行病毒侵害的一种攻击方式。【1 3 】 ( 6 ) a s p 木马 所谓a s p 木马就是用a s p 编写的网站程序。它和其他a s p 程序的区别只在于a s p 木马是入侵者上传到目标空间，并帮助入侵者控制目标空间的a s p 程序。 ( 7 ) 漏洞攻击 漏洞攻击就是硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可 以使攻击者能够在未授权的情况下访问或破坏系统。【1 4 】常见的主要攻击方式有：u n i c o d e 漏洞攻击、溢出漏洞攻击、n e t b i o s 漏洞攻击、i p c $ 漏洞攻击和r p c 漏洞攻击。 2 3 聊城大学虚拟主机w e b 的现状 聊城大学虚拟主机w e b 服务采用w i n d o w s 2 0 0 3 + i i s 6 0 + a s p ( n e t ) 模式，由网络信息 中心统一提供空间和域名，各院系( 部处) 二级单位分别负责各自网站的建设和管理。 虚拟主机网站数量多，网站功能相对来说比较简单。目前，虚拟主机上有近7 0 个 站点，占学校所有二级单位网站数量的9 0 以上。网站基本上以介绍本单位信息、发布 通知及最新动态为主，功能相对来说比较单一、也比较简单。 虚拟网站建设和管理力量薄弱，网站安全性普遍不高。目前，虚拟主机网站除了3 个是纯静态的，其它的都是动态网站。由于学校各二级单位缺乏网站建设与管理的专职 人员，他们的网站大都由学生制作和维护，负责的老师只是尽了监管学生的责任，很少 网站是专业人员建设、维护和管理的。网站大都只是注重了功能的实现，有时为了尽快 完成任务，随便下载个新闻系统改改完工，而忽略了网站的安全性，何谈网站的安全性。 虚拟主机硬件性能优良，具有一定冗余备份性。虚拟主机服务器有两台，目前做的 是简单替换备份。每台服务器上有4 颗双核c p u ，4 g 内存，4 块1 4 6 g s c s i 硬盘( 做的 r a i d 5 ) ，双电源。 1 0 中国石油大学( 华东) 碗士论文 第3 章w e b 通讯中的安全 w e b 通讯中的安全即网络安全是指数据传输安全( 通讯安全) 。w e b 通讯中的安 全从外部、内部两方面入手，相互联动构成个桶状结构以增大安全系数。在外部网络 中首先要利用路由器、交换机、硬件防火墙等硬件设施进行访问控制、身份认证等方面 的安全性，接下来要发挥众多软件系统不同的防御机制，从各个角度、层次对传输的数 据进保护。在内部网络中要充分利用交换机进行v l a n 划分，缩小广播域和窃听范围， 利用入侵检测等网络分析工具对局域网数据流进行分析发挥防火墙的功能隔离内外 网。 上述网络安全措旆是网络安全体系的一部分，对虚拟主机的安全的确实十分重要 但不是本章讨论的重点。本章重点研究几种严重影响主机通讯的攻击手段及防御措施。 3 1d d o s 攻击及防御 3 11 d d o s 的定义、攻击原理及特点 ( 1 1 d d o s 的定义 d i ) o s i ”1 ( d i s t r i b u t e dd e n i a lo f s e r v i c e ，分布式拒绝服务攻击) 它利用分布在不同地 点的大萤计算机，采用协作的方式，同时向被攻击目标发送大大超过其处理能力的数据 包，使被攻击目标不能提供正常服务，甚至瘫痪。 ( 2 ) d d o s 的攻击原理 攻击者 控 制 主 机 目标 图3 一ld d o s 攻击 f i 9 3i d d o s a t t a c k 击傀儡机 第3 章w e b 通讯中的安全 d d o s 攻击采用多层的客户服务器模式，攻击者使用一个偷窃账号将d d o s 主控程 序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已 经被安装在i n t e m e t 上的许多计算机上。代理程序收到指令时就发动攻击。利用客户服 务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。一个完整的d d o s 攻击体系一般包含四个部分( 如图3 1 ) ：攻击控制台( 攻击发起者) 、攻击服务器、攻击 傀儡机( 攻击执行者) 和攻击目标。 ( 3 ) d d o s 攻击的特点 破坏力强：全球各种类型网络服务商几乎都曾受到该攻击的危害。 具有普遍性：技术简单，操作门槛低，攻击工具已经泛滥，网上很容易得到攻击 软件，具备计算机网络。初级知识的人也很容易策动和实施一次危害很大的攻击。 追查困难：分布攻击采用傀儡主机攻击，难以追查。 危害面广：除导致主机停止服务外，还可能导致整个网络瘫痪。 3 1 2d d o s 的防御技术 虽然防御d d o s 攻击存在诸多困难，但经过相关人员和机构通过不断探索，仍取得了 许多宝贵的防御策略和技术。目前，对d d o s 攻击的防护可以分为三类，分别是基于网 络的、基于源的和基于目标系统的防护策略。【1 6 】 ( 1 ) 基于网络的防护策略 这种策略的主要目标是通过减少攻击数据引起的链路拥塞来尽量保护网络基础设 施。由各个代理发出的小攻击数据在慢慢地接近攻击目标时，会逐渐汇聚成为较大的攻 击数据流。通常情况下，这种情况会引起通往目标的一条或多条通信链路的拥塞。网络 中的一些设备，例如路由器、交换机、防火墙、代理和负载均衡器，都可以用来检测网 络环境中的拥塞并且采取应对措施。一个完整的基于网络的d d o s 防护体系要求网络管 理者和i s p 管理员不但要知道存在端到端的拥塞还要清楚它们的具体位置，并且可以对 d d o s 攻击采取相应措施。较为理想的措施是在离攻击源尽可能近的地方限制通信流量。 因此，定位攻击数据源是基于网络的防护系统的关键技术。在基于网络的d d o s 防御策 略中，广泛地使用了以下几种技术。利用带宽限制和服务质量技术来限制某些非法数据 流的带宽。使用入口过滤技术可以对付某些形式的i p 欺骗技术，这种数据包的源地址 不符合它们到达的网络地址接口。目前研究最多的是回溯阻塞技术，这项技术可以通 过一系列技术回溯攻击数据流的源并且自动的对攻击数据流进行阻塞或者限制。 ( 2 ) 基于源的防护策略 1 2 中国石油大学( 华东) 硕士论文 基于源的d d o s 防护策略主要是在攻击数据流到达核心网络之前就在源或者接近源 的地方将其过滤。很多情况下，在源附近鉴别攻击数据流更加简单，例如伪造的源地址 的数据包在攻击源所在的网络内更加容易检测，因为合法的地址范围都是很明确的。这 种策略的主要缺点是它依赖很多可能存在攻击源网络的管理员对防火墙等系统进行配 置来实现这种防护。目前，使用最广泛的基于源防护的技术是出口过滤。只要从一个组 织的网络中流出的数据流的源地址与分配给它的地址范围不一致时，就将这些数据流阻 塞。这种技术在访问路由器和防火墙过滤规则中实现。， ( 3 ) 基于目标系统的防护策略 基于目标系统d d o s 的防护策略主要是从需要保护的系统的角度来考虑对d d o s 的 防护。这种策略主要是在服务器上的或者在到达服务器的关键节点上部署防护系统。基 于目标系统的d d o s 防护可以有效地应对本地的带宽消耗攻击，对系统资源衰竭和利用 程序漏洞这两类攻击也很有效果。此外，可以从加强服务器的设置和管理员的日常管理 来防御d d o s 攻击，这些将在后面的章节中阐述。 3 2a r p 欺骗攻击及防御 3 2 1a r p 欺骗的原理及中毒现象 、( 1 ) a r p 欺骗的原理 a r p 病毒是一种木马程序，其本质就是利用a r p 本身的漏洞进行欺骗，即通过伪 造p 地址和m a c 地址实现欺骗，在网络中产生大量的a r p 通信量使网络阻塞，或使 信息流向本不存在的有正确的“m 地址和m a c 地址虚拟主机，而使个人主机