Web与数据库安全

Web与数据库平安2012-09-10常见应用软件平安办公软件安全课程内容2系统平安知识体知识域数据库平安知识子域数据库安全基础数据库系统安全管理应用软件平安网络效劳平安Web服务基础Web浏览器与服务器安全电子邮件安全FTP安全即时通信软件安全知识域：数据库平安知识子域：数据库平安根底了解数据库及结构化查询语言SQL根本概念掌握结构化查询语言SQL理解数据库平安概念理解数据库平安功能理解数据库“视图”对于数据保密性的作用理解“规那么与默认”和“事务管理”对于数据完整性的作用知识子域：数据库管理系统的平安管理理解数据库威胁与防护掌握数据库平安特性检查掌握数据库运行平安监控了解数据库管理系统产品平安理解数据库管理系统平安要求3数据库概念定义1：长期储存在计算机内的，有组织的，可共享的数据集合。定义2：数据库是由一个互相关联的数据的集合和一组用以访问这些数据的程序组成。4图书管理员图书馆用户请求数据库管理系统概念定义：如何地组织和存储数据库中的数据，如何有效地获取和维护这些数据。完成这个任务的程序(软件)叫数据库管理系统〔DataBaseManagementSystem〕相对于文件系统的优点5DBMS数据独立性缓存管理事务特性各种辅助功能Database程序数据库用户请求数据库逻辑结构和存储结构外部表现6系统管理员最终用户数据库请求数据库设计、数据库编程和数据库管理人员操作系统应用程序DBMS关系数据库管理系统逻辑结构和存储结构6结构化查询语言SQLSQL语句格式根本语句约30条。每条语句都请求DBMS完成一个动作。所有SQL语句的根本格式都一样。7DELETE

FROMsalesrepsWHERESales<20000.00动词表名子句关键字列名常数表达式结构化查询语言SQLSQL语言分类8SQL功能操作符数据定义CREATE，DROP，ALTER数据查询SELECT数据操纵INSERT，UPDATE，DELETE数据控制GRANT，REVOKE，DENY事务控制BEGIN，COMMIT，ROLLBACK嵌入式/服务器端编程DECLARE,EXPLAIN,OPEN,FETCH,CLOSE,PREPARE,EXECUTE,DESCRIBE数据库平安概念传统的数据库运行环境：9Database

security防止未经授权的数据泄露和数据修改：认证、授权和审计客户-效劳器模式数据平安1982(DorothyDenning)数据库平安概念统计数据库平安目标：允许用户查询聚集类型的信息〔例如合计、平均值等〕，但是不允许查询单个记录信息10[Adam&Wortmann’89]SELECTcount(*)FROMPatientsWHEREage=42andsex=‘M’anddiagnostic=‘schizophrenia’OKSELECTnameFROMPatientWHEREage=42andsex=‘M’anddiagnostic=‘schizophrenia’NotOK数据库平安概念现代数据库运行环境：多层结构应用环境在一个多层应用环境中，中间层负责:鉴别客户层应用〔用户认证〕管理与数据库交互〔数据库会话管理〕中间层使用通用的用户名和密码与数据库连接并进行身份验证数据库效劳器使用中间层的通用用户名和密码，依据应用上下文对终端用户的权限进行管理11数据库层客户层中间层应用服务器数据库服务器终端用户鉴别会话管理中间层用户标识、密码等权限检查数据库平安概念本课程定位的数据库平安：假设支持DBMS的运行支持环境是平安的12数据库平安概念根本概念用户(Users)：数据库中的行动者。数据库用户分最终用户、管理员、开发员、分析和设计员。数据库对象〔DatabaseObjects〕：是SQL平安性保护能够施加的项,如数据库表与视图、存储过程与函数、数据库表与视图中的列、行等。权限〔Privileges〕：允许用户对一个给定数据库对象执行的动作，如表对象的CREATE,SELECT,INSERT,UPDATE,DELETE等操作权限。授权〔Authorization)：规定用户可对某个数据库对象执行的动作〔如读、写、执行等〕。13数据库平安概念数据库权限分级系统权限数据库实例级或数据库级范围的行动，或执行一个特定类型的模式对象的行动。如Oracle数据库中的创立表、表空间等模式/非模式对象结构权限控制，DB2数据库中的特权概念。模式权限在一个特定数据库对象如表〔表列〕，视图，序列，过程或函数对象上行动的执行权。用户一般自动拥有自己有所有权对象的各种模式权限。数据权限有权进行访问和操作特定数据〔数组，元素〕对象，也称为行级〔细粒度〕的访问控制〔FGAC〕14数据库平安概念系统权限例子〔Oracle〕15对象 在对象上行为例子 INDEX〔索引〕 CREATEANYINDEX

ALTERANYINDEX

DROPANYINDEX TABLE〔表〕 CREATETABLE

CREATEANYTABLE

ALTERANYTABLE

DROPANYTABLE

SELECTANYTABLE

UPDATEANYTABLE

DELETEANYTABLESESSION〔会话〕CREATESESSION

ALTERSESSION

RESTRICTEDSESSIONTABLESPACE CREATETABLESPACE

〔表空间〕 ALTERTABLESPACE

DROPTABLESPACE

UNLIMITEDTABLESPACE系统级操作用户所有表对象其他用户所有表对象数据库平安概念模式对象权限例子16对象权限

表对象

视图对象

序列对象

存储过程/函数ALTER

Ö

Ö Ö

ÖDELETE

Ö

ÖEXECUTE ÖINDEX

Ö

Ö INSERT

Ö

ÖREFERENCES

Ö

SELECT

Ö

Ö Ö

UPDATE

Ö

Ö数据库平安概念数据对象权限例子应用平安上下文〔Context〕细粒度访问控制概念17数据库平安功能用户平安18用户帐户管理策略数据存储空间限额临时数据存储空间缺省数据存储空间角色授权的权限资源限额(CPU、IO)用户平安直接授权的权限鉴别机制数据库平安功能用户标识与鉴别〔FIA〕口令策略19User口令有效期与宽限期管理策略自定义口令策略验证口令历史管理帐户锁定策略Settingupprofiles用户口令在使用过程中必须加密传输与存储数据库平安功能用户会话管理〔FTA〕〔Oracle〕20控制资源CPU_PER_SESSION

SESSIONS_PER_USER

CONNECT_TIME

IDLE_TIME

LOGICAL_READS_PER_SESSIONPRIVATE_SGA

描述TotalCPUtimemeasuredinhundredthsofsecondsNumberofconcurrentsessionsallowedforeachusernameElapsedconnecttimemeasuredinminutesPeriodsofinactivetimemeasuredinminutesNumberofdatablocks(physicalandlogicalreads)PrivatespaceintheSGAmeasuredinbytes(forSharedServeronly)数据库平安功能用户数据管理〔FDP〕自主访问控制(DAC)21用户权限登记DD合法权限检查授权规则授权规则用户发出操作请求定义用户权限DBMS的存取控制子系统数据库字典数据库平安功能用户数据管理〔FDP〕自主访问控制〔续〕系统级授权控制模式级授权控制 22GRANT{system_privilege|role} [,{system_privilege|role}]...

TO{user|role|PUBLIC} [,{user|role|PUBLIC}]... [WITHADMINOPTION];GRANT{object_privilege[(column_list)] [,object_privilege[(column_list)]]... |ALL[PRIVILEGES]}

ON [schema.]objectTO {user|role|PUBLIC}[,{user|role|PUBLIC}]... [WITHGRANTOPTION];数据库平安功能用户数据管理23福利角色薪酬角色人事主管招聘职员薪酬职员薪酬权限福利权限基于角色的授权例子数据库平安功能用户数据管理〔FDP〕自主访问控制〔续〕角色管理创立角色用户角色指派用户角色控制24CREATEROLErole[NOTIDENTIFIED|IDENTIFIED{BYpassword|EXTERNALLY|GLOBALLY|USINGpackage}]GRANTrole[,role]… TO{user|role|PUBLIC}[,{user|role|PUBLIC}]…

[WITHADMINOPTION]SETROLE{role[IDENTIFIEDBYpassword] [,role[IDENTIFIEDBYpassword]]... |ALL[EXCEPTrole[,role]...] |NONE}24数据库平安功能用户数据管理〔FDP〕强制访问控制〔标签〕主体：系统中的活动实体〔用户、进程〕。客体：系统中的被动实体〔文件、基表、视图〕。敏感度标记：对于主体和客体，DBMS为它们每个实例〔值〕指派一个敏感度标记。主体的敏感度标记称为许可证级别；客体的敏感度标记称为密级。授权：每一个数据对象被标以一定的密级，每一个用户也被授予某一个级别的许可证。对于任意一个对象，只有具有合法许可证的用户才可以存取。对数据本身进行密级标记，无论数据如何复制，标记与数据是一个不可分的整体。25数据库平安功能用户数据管理〔FDP〕强制存取控制规那么1〕仅当主体的许可证级别大于或等于客体的密级时，该主体才能读取相应的客体；2〕仅当主体的许可证级别〔小于或〕等于客体的密级时，该主体才能写相应的客体。26主体绝密机密可信公开客体绝密机密可信公开读取写数据库平安功能用户数据管理〔FDP〕强制访问控制〔标签〕用户分级：SecurityClearance数据标签：Label27数据库平安功能28固定的数据集合，包括相关的SQL语句基于内容的SQL语句

(INSERT,UPDATE,DELETE,andSELECT)细粒度审计(FGA)数据库管理员定义(如编写触发器Trigger)DML语句操作相关的数据基于值的审计产生固定的数据（如用户、对象、操作、时间）访问模式对象数据时产生审计数据标准数据库审计审计内容（数据）?审计什么?审计类型数据库平安功能数据库审计〔FAU〕审计功能是把用户对数据库的所有操作自动记录下来放入审计日志中，DBA可以利用审计跟踪的信息，找出非法存取数据的人、时间和内容等。29数据库平安功能数据库审计〔FAU〕审计策略审计用户、SQL语句或数据库对象语句执行情况成功的、不成功的或二者都包括的语句执行审计信息OS登录标识与用户名会话标识、终端标识等访问的模式名称、数据库对象名称执行成功或试图执行的操作执行的代码执行时间等审计层次：系统级、用户级、对象级等30数据库平安功能数据库审计〔FAU〕数据库审计功能设置〔Oracle〕31审计数据审计策略审计策略设置.产生审计记录.查阅审计信息.DBA用户启动数据库审计执行数据库操作.Database保存在OS中审计数据审计策略Server

process数据库平安功能数据库审计〔FAU〕基于值的审计32Theuser’schangeismade.相关触发器触发Auditrecordiscreatedbytrigger.Itisinsertedintoanaudittrailtable.用户试图修改数据库数据数据库平安功能平安管理〔FMT〕：最正确实践：SIS、DoDDBMS厂商平安配置建议33DBMS安全性认证系统用户授权数据文件相关SQL安全编程口令和资源安全配置平安补丁版本疑似漏洞平安参数审计相关监听器平安用户名和密码权限相关账户相关过程和函数相关其他数据库平安功能平安管理：Oracle平安策略34数据库平安功能数据加密〔FCS〕数据传输加密不加密，数据在网络传输的是明文加密数据库的网络通讯数据存储加密表加密：每个表不同的表密钥运算，形成密文后存储〔早期方法，执行效率低〕属性加密：以表字段为单位进行加密记录加密：以表中的记录为单位进行加密数据元素加密：以记录中每个字段的值〔元素〕为单位进行加密密钥管理机制：集中管理&多级密钥管理35数据库“视图”视图的SQL定义数据库中一个存储的查询定义。视图的优点个性化效劳：简化了用户观点，使不同用户可以从不同角度观察同一数据。平安性：“知必所需”，限制用户数据的访问范围。逻辑独立性：视图作为根本表与外模式之间的映象。createview视图名称[(列名[，列名]…)] as〔查询表达式〕[withcheckoption][CONSTRAINTconstraint]]36数据库“视图”基于视图的数据平安限制对敏感数据的访问：只集中于适宜的数据简化用户的权限管理：通过视图让用户查询数据，保护基表设计中的更改基于视图的授权控制37CREATEAUTHORIZATIONVIEWPatientsForDoctorsASSELECTPatient.*FROMPatient,Doctor

WHEREPatient.doctorID=Doctor.IDandDoctor.login=%currentUserContext

parameters“约束”和“事务管理”对于数据完整性的作用数据库管理系统的平安功能主要是针对数据库中数据的独立性〔视图机制〕、数据机密性〔访问控制、加密〕、数据库平安审计外，还包括数据完整性数据一致性〔事务并发控制〕数据丧失平安〔各种故障的数据库恢复策略〕等平安功能方面38数据库完整性数据库完整性保护三种方法应用程序表数据、索引数据、…数据完整性约束条件数据库触发器数据库约束NOTNULL

UNIQUE

PRIMARYKEY

FOREIGNKEY

CHECK

39数据库完整性约束创立字段级约束表级约束40column[CONSTRAINTconstraint_name]constraint_type,column,...

[CONSTRAINTconstraint_name]constraint_type(column,...),CREATETABLEemployees(employee_idNUMBER(6),last_nameVARCHAR2(25)NOTNULL,emailVARCHAR2(25),salaryNUMBER(8,2),commission_pctNUMBER(2,2),hire_dateDATENOTNULL,...CONSTRAINTemp_email_ukUNIQUE(email));

ColumnLevelTableLevel数据库完整性“事务管理”对于数据一致性保护事务定义事务是由一系列操作序列构成的程序执行单元，这些操作要么都做，要么都不做，是一个不可分割的工作单位。事务与数据库一致性关系41BeginTransaction事务执行过程EndTransaction处于一致性状态的数据库在事务执行过程中数据库的数据可能不一致

处于一致性状态的数据库例如银行转帐数据库完整性事务特性ACID原子性：事务是处理的一个原子单位；它要么全部执行，要么全部不执行。一致性：如果事务的执行将数据库从一个一致性状态转换到另一个一致性状态，也就是说数据库中只包含成功事务提交的结果时，那么该事务就具有一致性。如果数据库运行中发生故障，有些事务尚未完成时被迫中断，这些未完成的事务对数据库所做的修改一局部已写入数据库，这时数据库就处于一种不正确的状态。隔离性：事务的执行不能被其它事务干扰。持久性：也称永久性，指一个事务一旦提交，它对数据库中数据的改变应该是永久的，不会因为故障或其它操作而发生丧失。42数据库恢复数据库故障语句失效：DBMS在执行SQL语句过程中出现错误。进程失效：DBMS在执行用户程序进程过程中出现异常现象〔如网络断开、资源占用等〕。系统失效：数据库实例在运行过程中因为效劳器资源等问题的失效。用户或应用程序错误：用户误操作等错误引起的数据丧失等错误。介质失效：磁盘损坏、文件丧失等物理故障引起的数据丧失等。网络实效：网络故障引起的分布式事务处理数据的不一致性等现象43数据库恢复数据库恢复44知识域：数据库平安知识子域：数据库管理系统平安管理理解数据库威胁与防护理解数据库平安特性检查理解数据库运行平安监控了解数据库管理系统产品平安理解数据库管理系统平安要求45理解数据库威胁数据库10大威胁：过度的特权滥用、合法的特权滥用、特权提升、平台及数据库漏洞、SQL注入、不健全的审计、拒绝效劳攻击、数据库通信协议漏洞、不健全的认证、数据泄露46安全策略不健全的审计不健全的验证数据泄露数据库软件漏洞平台漏洞数据库漏洞权限管理过度的特权滥用合法的特权滥用远程攻击SQL注入拒绝服务攻击特权提升两个典型攻击SQL注入利用程序对用户输入数据的检查缺乏或程序自身对变量处理不当，把额外的SQL语句附加到中间层往后台数据库提交的语句中，轻那么获得敏感信息，重那么控制效劳器47Searchclaimsby:Nowsearchthroughtheclaims:Dr.Lee用户登录:User:Password:fred********SELECT…FROM…WHEREdoctor=‘Dr.Lee’andpatientID=‘fred’47两个典型攻击SQL注入

48Searchclaimsby:Dr.Lee’ORpatientID=‘suciu’;--Better:Searchclaimsby:Dr.Lee’OR1=1;--…..WHEREdoctor=‘Dr.Lee’ORpatientID=‘suciu’;--’andpatientID=‘fred’如果用户试图这么操作:隐私数据泄露数据发布：针对特定个体对象(主体)的描述或说明，多以数据表的形式存放于统计数据库之中。49姓名性别年龄邮编疾病1Bob男23100084感冒2Charlie男44100080感冒3Dave男55100080肺癌4Mark男67100084肺癌5Frank男31100084腮腺炎6Gloria女21100084感冒7Angela女42100080感冒8Andy女64100084乳腺癌9Jessica女56100080卵巢癌10Karen女38100084心脏病标识属性敏感属性类标识属性隐私性：防止攻击者通过发布数据中的记录获知他人的敏感属性值。可用性：保证研究能从发布数据中获得可靠的结论。矛盾关系隐私数据泄露交互式隐私保护框架查询审计输出扰动非交互式隐私保护框架数据扰动技术加噪音，数据交换数据非扰动技术匿名化技术50理解数据库平安防护数据库平安防护：检测与防护步骤51数据库平安防护事前产品选择:数据库产品平安机制52DBSQL请求用户标识与鉴别DBMS存取控制数据加密审计追踪深度防御〔层层设防〕各种应用平安边界查询引擎DBMS选件事务引擎数据库平安防护事前数据库运行配置检测:平安特性检测53知识库检测引擎效劳扫描渗透测试平安审计漏洞利用审计报告检测人员策略专家配置检测策略扫描数据库效劳

外部渗透性测试进行全面的平安审计扫描

分析审计结果，设计漏洞利用方式

生成一份详细的审计报告

制定检测策略从策略库中选择检测策略数据库平安防护事中运行监控:数据库运行平安监控54数据库平安特性检查数据库平安特性知识库数据库最正确实践CVE数据库平安漏洞Internet平安中心〔CIS〕、黑帽网站、美国国防部国防信息系统中心等研究机构、国家平安局部典型应用的主流数据库平安配置指南数据库厂商提供的平安指南:Oracle/Sqlserver/…数据库平安特性检查工具美国应用平安公司的AppDetective英国下一代软件公司的NGSSQuirrel55数据库平安特性检查效劳发现构造数据库通讯协议，和监听端口直接通信可连续快速扫描一个IP范围，智能和自动化的端口确认渗透测试监听器平安，效劳猜测用户名和密码渗透漏洞利用内部平安审计根本审计：户名和密码、资源配置、敏感权限、监听器平安、平安补丁、平安参数、版本漏洞、账户相关、过程和函数高级审计:标签平安、oracle内部审计功能、目标信息收集等56数据库平安特性检查根本审计用户名和密码相同 采用反向hash比照，准确快速鉴定弱密码。密码策略 错误重试次数、密码生命周期、重用最小时间间隔、失效警告时间、登录失败锁定、重用前最小更换次数等平安补丁 补丁是最有效的平安漏洞修补手段。平安参数密码文件、操作系统认证、跟踪日志文件权限、控制文件路径、事件审计开关、SYS身份审计、数据库链密码等57数据库运行平安监控数据库运行监控平台58网络嗅探器网络数据包

数据库分析器IP地址端口号SQL语句DB2命令SQL分析器SQL语法分析结果用户行为模型分析结果安全审计审计结果审计规那么数据库审计数据库数据库运行平安监控59Oracle数据库管理系统平安Oracle数据库平安60数据库平安概念61例子：Oracle数据库应用环境与平安解决方案DB2数据库管理系统平安DB2平安机制62多种外部认证方式系统授权对象授权强制安全策略DB2数据库管理系统平安IdentityandAccessManagementPortfolio63Apps/EmailUNIX/LinuxNOSDatabases&ApplicationsMF/MidrangeIdentityStoresHRCRM,PartnersSecurityMgmt

ObjectsITIM:ProvisioningPoliciesWorkflowPasswordSelf-serviceAudittrailsWebApplicationsEnterpriseDirectoryPersonalInfoCredentialsEntitlementsITFIM:FederatedIdentityWebServicesSecurityPortalPresentationPersonalizationITAM:WebAccessManagementSSO,Authentication,AuthorizationITDIDirectoryIntegrationITDSDirectoryServerTAMforESSO平安相关标准GB17859&GB/T1833664US-DODTCSEC1983-85US-NISTMSFR1990FederalCriteria1992EuropeITSEC1991CanadaTCPEC1993CommonCriteria1993-98ISO15408CommonCriteria1999EuropeanNational/RegionalInitiatives1989-93CanadianInitiatives1989-93GB178591999GB/T183362001基于GB/T18336的数据库平安要求IT平安需求功能要求保证要求子类组件组件组件组件组件组件组件组件组件组件组件组件组件组件元素Element元素元素元素元素元素元素Element元素元素元素功能包功能包保证级别保证级别保护轮廓PPrefinements类类类类子类子类子类子类子类子类子类主流数据库平安需求EAL4:Oracle/DB2/SQLServer/Sybase/Teradata

Security

Target66序号产品类数子类数组件数备注1Oracle11gEnterprise72430有11个修改,其中3个来自NIAP-0407,4个EXT,4个带括号2Oracle11gOLS72835扩展的5个组件是FDP_IFC.1,FDP_IFF.2,FMT_MOF.1(2),FMT_MSA.1(2)和FMT_MSA.33DBv9.762231augmentedwithALC_FLR.1有9个修改,2个ExT,7个带括号4SQLServer200562024EAL4+ALC_FLR.25SybaseEnterprise15.0.182741EAL4+ALC_FLR.2，有16个修改(1个EXT,15个a)6Teradata72125EAL4+ALC_FLR.32009组件总数942(34)101(87)USDBMSPP61519EAL2v2.1功能类、组件总数1166135v3.1功能类、组件总数1165143序号级别保证类子类组件备注EAL1577无ALC和AVAEAL261313无ALCEAL371717EAL472323ADV_INTTSF内部（内部结构模块化、层次化、策略实施机制的复杂性最小化等。）AVA_CCA隐蔽信道分析（非预期的信号信道存在性及其潜在的容量）EAL772525只是同子类的组件一级比一级严格V2.172678ALC_FLR在各级中都不包含V3.152059不包括ASE类中的7个子的10个组件主流数据库平安需求Oracle、DB2、SQLServer、TeraData和Informix涉及到的平安功能类有九类，分别是平安审计〔FAU类〕、密码支持〔FCS类〕、用户数据保护〔FDP类〕、标识和鉴别〔FIA类〕、平安管理〔FMT类〕、TSF保护〔FPT类〕、资源利用〔FRU类〕、TOE访问〔FTA类〕和可信路径/信道〔FTP类〕。(FCO、FPR)依据中风险环境〔MRE〕一致性要求的平安功能要求，TOE的SFR应覆盖36个子类、101个平安组件〔主流数据库支持的只有87个，其它14个来自中风险平安环境的平安功能要求〕。这101个平安功能要求组件涉及CC标准中的58个平安组件，其中有49个没有修改，被一致性手册或DBMS添加的修改组件有52个。DBMS平安组件的最大级是58个，最小级是29个。67知识域：网络效劳平安知识子域：Web效劳平安了解Web工作机制及HTTP协议的平安缺陷理解Web效劳器常见平安漏洞和防范方法掌握WindowsIIS的平安设置68WEB工作机制什么是Web万维网〔亦作“Web”、“WWW”、“W3”，英文全称为“WorldWideWeb”〕，是一个由许多互相链接的超文本文档组成的系统，通过互联网访问在这个系统中，每个有用的事物，称为一样「资源」；并且由一个全域「统一资源标识符」〔URI〕标识；这些资源通过超文本传输协议〔HypertextTransferProtocol〕传送给使用者，而后者通过点击链接来获得资源69WEB工作机制超文本传输协议(HTTP)HTTP协议允许效劳器和客户机通过INTERNET接收和发送数据。它是个请求和回应协议----客户机发送请求，效劳器对请求给出回应。HTTP使用可靠的TCP连接，默认TCP端口是80。HTTP的第一版是HTTP/0.9，随后被HTTP/1.0所取代。当前最新的版本是HTTP/1.1，在RPC2616标准文档中给出了定义使用HTTP，客户端通过建立一个连接和发送一个HTTP请求来初始化事务会话，效劳器联系客户端或者回应一个callback连接给客户端。它们都可以中断连接。例如在使用WEB浏览器时，可以通过点击浏览器上的STOP按钮来停止文件下载进程，可有效的关闭了和这个WEB效劳器的HTTP连接70WEB工作机制HTTP请求〔Requests〕一个HTTP请求包含三个局部：方法，URL，协议/版本〔Method-URI-Protocol/Version〕请求包头(Requestheaders)实体包〔Entitybody〕HTTP响应〔Responses〕一个HTTP响应也包含三个局部协议状态代码描叙〔Protocol-Statuscode-Description〕响应包头〔Responseheaders〕实体包〔Entitybody〕71WEB工作机制HTTP请求范例：POST/servlet/default.JSPHTTP/1.1

Accept:text/plain;text/HTML

Accept-Language:en-gb

Connection:Keep-Alive

Host:localhost

Referer:://localhost/ch0/SendDetails.htm

User-Agent:Mozilla/4.0(compatible;MSIE4.01;Windows98)

Content-Length:33

Content-Type:application/x-www-form-urlencoded

Accept-Encoding:gzip,deflateLastName=Franks&FirstName=Michael72WEB工作机制-请求范例POST/servlet/default.jspHTTP/1.1Post:请求的方法，HTTP标准标准定义了一些请求方法，用来给每个HTTP请求所使用。HTTP1.1支持7种请求方法：GET,POST,HEAD,OPTIONS,PUT,DELETE,和TRACE。其中GET和POST在INTERNET的应用程序中是使用最普遍的两个方法。/servlet/default.jsp：请求的个URL地址，URI指明了一个INTERNET资源。一个URI通常是相对于效劳器的根目录被解释的。因此，总是使用符号(/)开头。一个URL实际是一个URI类型。73WEB工作机制-请求范例Accept:text/plain;text/HTML

Accept-Language:en-gb

Connection:Keep-Alive

Host:localhost

Referer:://localhost/ch0/SendDetails.htm

User-Agent:Mozilla/4.0(compatible;MSIE4.01;Windows98)

Content-Length:33

Content-Type:application/x-www-form-urlencoded

Accept-Encoding:gzip,deflateLastName=Franks&FirstName=Michael请求包头〔requestheader〕包含了一些有用的客户机环境的信息和请求的实体〔entitybody〕信息。比方，它可以包含浏览器使用的语言和实体的长度等等。每个请求包头都被CRLF〔回车换行〕序列所别离。74WEB工作机制HTTP响应范例：

HTTP/1.1200OK

Server:Microsoft-IIS/6.0

Date:Mon,3Jan201013:13:33GMT

Content-Type:text/HTML

Last-Modified:Mon,11Jan201013:23:42GMT

Content-Length:112

WelcometoCISP.75第一行的响应包头和请求包头很相似。第一行说明协议是使用的HTTP1.1，响应请求已成功(200表示成功),一切已OK。响应包头和请求包头相似，也包含一些有用的信息。响应的实体是HTML那一局部的内容。包头和实体也都是被CRLF序列别离开的Web协议平安问题数据未加密HTTP协议没有加密功能，传输的数据都是以明文方式显示，因此在传输过程中可能会被攻击者截取账号及密码等重要信息。无状态协议HTTP不会记录前一次传输的数据信息，因此无法实现务器和客户端的交互。76网站结构、代码设计及内部安全机制是网站安全的最后一道防线所有网站都要依附于应用程序，所以应用程序是第二道防线所有网站应用都依赖于操作系统，对于网站安全来说系统是第一道防线构架系统应用Web效劳器常见平安漏洞和防范方法77系统平安威胁蠕虫弱口令不必要端口未装防护软件系统漏洞黑客病毒网马其他杀软防火墙强化密码加固补丁措施Web效劳器常见平安漏洞和防范方法78应用安全管理账户程序补丁访问权限审计机制安全策略病毒侵害网络攻击信息窃取Web效劳器常见平安漏洞和防范方法79检测输入数据类型过滤特殊字符使用SSL加密屏蔽错误信息过滤敏感数据功能模块部署结构I/O安全网站、数据库分离使用独立服务器限制文件上传类型审核用户发表内容禁止查看其他人账户检查密码复杂度密码使用HASH加密保存密码嗅探密码破解注入攻击旁注攻击社会工程学Web效劳器常见平安漏洞和防范方法80IIS平安设置81性能设置〔端口、连接数等〕主目录及目录平安性〔目录权限〕日志平安文档和错误消息性能设置82端口号〔单个网站和多个网站的处理〕并发连接数设置带宽限制Cpu限制主目录及目录平安性主目录设置Web文件存放位置〔不宜使用默认目录〕目录权限设置建议：对所有修改权限的目录在IIS中把执行权限设置为：无。这样即使网站程序出现漏洞，入侵者能写入asp木马的目录没有脚本运行权限，有脚本运行权限的目录又无法修改和创立文件。网站根目录权限是继承的，取消继承，添加来宾帐户只读；对一些asp程序的access数据库目录、上传目录等去掉继承，添加修改权限，执行权限设置：无。83主目录及目录平安性设置84在IIS管理器中删除必须之外的任何没有用到的映射〔保存asa、asp、php、等必要映射即可〕和删除不必要的应用程序映射Web站点权限设定：日志平安性日志重要性IIS日志是系统平安策略的一个重要坏节，IIS的日志功能记录所有的用户请求URL。确保日志的平安能有效提高系统整体平安性日志平安性设置方法一：修改IIS日志的存放路径IIS的日志默认保存的默认位置〔%WinDir%\System32\LogFil-es〕，如果网站存在平安漏洞攻击者可以获取日志文件，因此应修改日志其存放路径〔建议存放在非系统盘〕方法二：修改日志访问权限日志是为管理员了解系统平安状况而设计的，其他用户没有必要访问，应将日志保存在NTFS分区上，并设置为只有管理员才能访问85文档及错误消息86启用父级路径和启用默认文档；HTTP404NotFound等错误返回页面定制；知识域：网络效劳平安知识子域：常用互联网效劳平安了解SMTP、POP等典型电子邮件协议的平安问题理解电子邮件客户端和效劳器的常见漏洞和防范方法理解FTP的常见平安漏洞和防范方法了解其他常用互联网效劳如远程终端、telnet等平安问题及解决措施87SMTP、POP电子邮件协议的平安问题SMTP、POP协议缺陷数据未加密:常规的收发E-Mail使用的是POP3和SMTP协议，这两个协议没有加密功能，传输的数据都是以明文方式显示，因此在传输过程中可能会被攻击者截取账号、密码以及获取邮件内容。身份验证问题:普通的电子邮件缺乏有效的平安认证，攻击者可以使用特定技术冒名发送邮件实施钓鱼攻击，通过这个方式欺骗接受者从而获取敏感信息。88电子邮件应用平安问题邮件效劳器邮件炸弹：大量的邮件浪费效劳器的资源垃圾邮件：浪费效劳器资源，导致效劳器被参加拒绝名单邮件客户端邮件病毒客户端漏洞信息泄露垃圾邮件89邮件拥塞垃圾邮件发送者，利用某些特殊的电子邮件软件，在很短时间内连续不断地将大容量的电子邮件邮寄给同一个收信人，从而导致收信任邮箱被填满，无法正常接收邮件垃圾邮件SMTP协议身份认证机制缺乏使得邮件效劳器可能被利用大量发送垃圾邮件，占用系统资源，甚至可能由于发送大量垃圾邮件导致被参加垃圾邮件效劳器列表，所有邮件发送请求被拒绝邮件效劳器平安90邮件客户端平安邮件病毒攻击者可以在邮件附件中植入病毒程序，当用户翻开附件时就会感染病毒，例如：Word文档可能携带宏病毒，EXE文件可能携带文件型病毒，甚至附件本身就是蠕虫病毒邮客户端漏洞邮件客户端存在的漏洞使得蠕虫病毒可以借此进行传播，例如：MIME标题头在读入内存时不检查它们的长度，可能导致邮件程序的缓冲区溢出，运行包含在附件中的任意代码。这些代码具有用户的所有能力，能执行重发邮件、改变文件，甚至格式化磁盘等破坏事件91邮件客户端平安信息泄露SMTP协议传输数据明文使得邮件信息泄露成为可能垃圾邮件垃圾邮件〔Spam〕是指接收的用户不希望看到的邮件，例如某些商业广告、邮件列表、电子刊物、站点宣传等，用户在使用过程中会收到大量的垃圾邮件，对用户使用邮件系统照成影响92效劳器平安应用采用平安协议平安策略配置邮件客户端平安应用PGP应用电子邮件平安应用93邮件效劳器平安应用平安协议电子邮件平安协议为了增强电子邮件的平安定制的标准协议。保证电子邮件的平安常用到两种端到端的平安技术：PGP〔PrettyGoodPrivacy〕和S/MIME〔SecureMulti－PartIntermailMailExtension〕。它们的主要功能就是身份的认证和传输数据的加密。平安策略配置确保效劳器软件版本最新关闭开放式转发反向域名验证身份验证……94邮件客户端平安应用PGP应用基于RSA公匙加密体系的邮件加密软件。可以用它对邮件保密以防止非授权者阅读，它还能对邮件加上数字签名从而使收信人可以确认邮件的发送者，并能确信邮件没有被篡改。它可以可以提供一种平安的通讯方式，而事先并不需要任何保密的渠道用来传递密匙。邮件客户端使用垃圾邮件过滤〔贝叶斯算法〕黑白名单、关键词过滤关闭自动脚本执行……95FTP协议的平安问题FTP〔FileTransferProtocol〕是文件传输协议，效劳器中存有大量的共享软件和免费资源，要想从效劳器中把文件传送到客户机上或者把客户机上的资源传送至效劳器，就必须在两台机器中进行文件传送，此时双方必须要共同遵守一定的规那么。FTP就是用来在客户机和效劳器之间实现文件传输的标准协议。它使用客户/效劳器模式，客户程序把客户的请求告诉效劳器，并将效劳器发回的结果显示出来。而效劳器端执行真正的工作，比方存储、发送文件等。96FTP协议没有加密功能，传输的数据都是以明文方式显示，因此在传输过程中可能会被攻击者截取FTP账号及密码FTP的常见平安漏洞嗅探攻击FTP协议没有提供数据加密功能，因此当用户登录FTP效劳器时可能会受到网络嗅探攻击，这种攻击技术可以截取用户的FTP账号从而获取重要文件暴力破解密码在FTP标准[PR85]中，FTP效劳器允许无限次输入密码。常规的FTP效劳器没有密码锁定机制，也没有设置客户端连接数限制，这给黑客发动密码破解攻击开放了方便之门，通过这种方法可以很快破解出设置简单的FTP密码97FTP应用平安嗅探攻击防御采取其他技术对会话进行加密〔VPN〕口令暴力破解防御限制尝试输入正确口令的次数。在几次尝试失败后，效劳器应关闭和客户的控制连接限制控制连接的最大数目，或探查会话中的可疑行为并在以后拒绝该站点的连接请求访问控制，现在访问FTP的客户地址98知识域：个人用户平安99知识子域：互联网使用平安了解互联网浏览平安常识了解常用即时