项目10Web安全
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
可以通过修改默认TCP端口号来提高IIS服务器 的安全性，因为如果修改了默认端口号，就只 有知道端口号的用户才能访问IIS服务器。
6. SSL安全
SSL(Security Socket Layer，安全套接层) 是Netscape公司为了保证Web通信的安全而提 出的一种网络安全通信协议。
SSL协议采用了对称加密技术和公钥加密技术， 并使用了X.509数字证书技术，实现了Web客 户端和服务器端之间数据通信的保密性、完 整性和用户认证。
(5) 病毒破坏。目前，Web站点面临着各种各样病毒的 威胁。蠕虫、特洛伊木马、电子邮件炸弹、逻辑炸弹 等多种计算机病毒严重威胁着Web站点的安全。
10.3.2 IIS的安全
目前，Web服务器软件有很多，其中IIS(Internet Information Server，Internet信息服务)以其和 Windows系统的完美结合，得到了广泛的应用。
黑客利用网站操作系统的漏洞和Web服务程序的SQL注 入漏洞等得到Web服务器的控制权限，轻则篡改网页内 容，重则窃取重要内部数据，更为严重的则是在网页 中植入恶意代码，使得网站访问者受到侵害。
目前很多业务都依赖于互联网，例如说网上 银行、网络购物、网络游戏等，很多恶意攻 击者出于不良的目的对Web服务器进行攻击， 想方设法通过各种手段获取他人的个人账户 信息谋取利益。
而应用层面的软件在开发过程中也没有过多考虑到安 全的问题，这使得程序本身存在很多漏洞，诸如缓冲 区溢出、SQL注入等流行的应用层攻击，这些均属于在 软件研发过程中疏忽了对安全的考虑所致。
另一方面，用户对某些隐秘的东西带有强烈的好奇心， 一些利用木马或病毒程序进行攻击的攻击者，往往就 利用了用户的这种好奇心理，将木马或病毒程序捆绑 在一些艳丽的图片、音视频及免费软件等文件中，然 后把这些文件置于某些网站当中，再引诱用户去单击 或下载运行。
或者通过电子邮件附件和QQ、MSN等即时聊天软件， 将这些捆绑了木马或病毒的文件发送给用户，利用用 户的好奇心理引诱用户打开或运行这些文件。
Web站点的安全问题主要表现在以下几wenku.baidu.com方面。
(1) 未经授权的存取操作。由于操作系统等方面的漏洞， 使未经授权的用户可以获得Web服务器上的秘密文件 和数据，甚至可以对Web服务器上的数据进行修改、 删除，这是Web站点的一个严重的安全问题。
这样客户端和服务器端就建立了一个唯一的安全通信 通道。
SSL安全协议提供的安全通信有以下3个特征。
① 数据保密性。在客户端和服务器端进行数据交换之 前，交换SSL初始握手信息，在SSL握手过程中采用了 各种加密技术对其进行加密，以保证其机密性和数据 完整性，并且用数字证书进行鉴别。这样就可以防止 非法用户进行破译。在初始化握手协议对加密密钥进 行协商之后，传输的信息都是经过加密的数据。加密 算法为对称加密算法，如DES、IDEA、RC4等。
1. IIS安装安全
IIS作为Windows的一个组件，可以在安装Windows系 统的时候选择是否安装。安装Windows系统之后，也 可以通过控制面板中的“添加/删除程序”来添加/删 除IIS组件。
在安装IIS之后，在安装的计算机上将默认生成 IUSR_Computername的匿名账户(其中Computername为 计算机的名称)，该账户被添加到域用户组中，从而 把应用于域用户组的访问权限提供给访问IIS服务器 的每个匿名用户，这不仅给IIS带来了很大的安全隐 患，还可能威胁到整个域资源的安全。因此，要尽量 避免把IIS安装到域控制器上。
经初步调查分析，在公司的防火墙和入侵检测系统上 均未发现入侵的痕迹，也未发出安全警报，那么网络 论坛究竟是怎么被黑掉的呢？
10.2 项目分析
网络管理员小李再次认真分析了网络论坛系统，发现 论坛系统采用了ASP＋Access的编程环境，从IIS的日 志中发现，黑客是用正常的管理员账户和密码登录论 坛系统的，那么黑客是怎么知道管理员账户和密码的 呢？
(2) 窃取系统的信息。非法用户侵入系统内部，获取系 统的一些重要信息，如用户名、用户口令、加密密钥 等，利用窃取的这些信息，达到进一步攻击系统的目 的。
(3) 破坏系统。对网络系统、操作系统、应用程序等进 行破坏。
(4) 非法使用。用户对未经授权的程序、命令进行非法 使用，使他们能够修改或破坏系统。
② 集成Windows身份验证。
集成Windows身份验证是一种安全的验证形式。需要 用户输入用户名和密码，但用户名和密码在通过网络 发送前会经过散列函数(Hash函数)的处理，因此可以 确保安全性。
当启用Windows身份验证时，用户的浏览器通过与Web 服务器进行密码交换(包括散列值)来证明其知道密码。
IIS可以设置允许或拒绝从特定IP发来的服务请求， 有选择地允许特定节点的用户访问Web服务，可以通 过设置来阻止除了特定IP地址外的整个网络用户来访 问Web服务器。
因此，通过IP地址来进行用户控制是一个非常有效的 方法。
5. 端口安全
对于IIS服务，无论是Web站点、FTP站点还是 SMTP服务，都有各自的TCP端口号用来监听和 接收用户浏览器发出的请求，一般的默认端口 号为：Web站点是80，FTP站点是21，SMTP服务 是25。
同时，在安装IIS的Web、FTP等服务时，应尽量 避免将IIS服务器安装在系统分区上。把IIS服 务器安装在系统分区上，会使系统文件和IIS服 务器文件同样面临非法访问，容易使非法用户 入侵系统分区。
另外，避免将IIS服务器安装在非NTFS分区上。 相对于FAT、FAT32分区而言，NTFS分区拥有较 高的安全性和磁盘利用率，可以设置复杂的访 问权限，以适应不同信息服务的需要。
⑤ 记录访问。允许用户将IIS配置成在日志文件中记录对该目录的 访问情况，通过该日志文件，可以对网站的访问进行统计和分 析，有利于系统安全。
⑥ 索引资源。允许Microsoft Indexing Service将该目录包含在 Web网站的全文索引中。
4. IP地址控制
如果使用前面介绍的用户身份验证方式，每次访问站 点时都需要输入用户名和密码，对于授权用户而言比 较麻烦。
下面是几种Web目录访问权限的含义。
① 脚本资源访问。在设置了读取或写入权限的情况下， 选中该权限则允许用户访问源代码(如ASP程序)，这 可能使其他人利用ASP脚本漏洞对Web网站发起恶意攻 击，因此一般不要选中该权限。
② 读取。允许用户读取或者下载文件、目录及其相关 属性。要发布信息时必须将其选中。
项目10 Web安全
项目1 双机互连对等网络的组建
10.1 项目提出
张先生开办的公司越来越大，公司人员也越来越多， 为了便于通信和交流，张先生在公司网络内部开通了 论坛，论坛中只管理员才有管理权限，普通员工只能 查看和发表论坛信息。
有一天，公司员工反映网络论坛被恶意更改，公司内 部一片哗然，张先生马上召集网络管理员，询问事件 的原由。
摘要式身份验证只能在带有Windows 2000/2003域控 制器的域中使用。
3. 访问权限控制
(1) NTFS文件系统的文件和文件夹的访问权限控制
如果将Web服务器安装在NTFS分区上，一方面可以对 NTFS文件系统的文件和文件夹的访问权限进行控制， 对不同的用户组和用户授予不同的访问权限。
另外，还可以利用NTFS文件系统的审核功能，对某些 特定用户组成员读写文件的企图等方面进行审核，有 效地通过监视如文件访问、用户对象的使用等发现非 法用户进行非法活动的前兆，以及时加以预防制止。
(2) Web目录的访问权限控制
对于已经设置成Web目录的文件夹，可以通过操作Web 站点属性页实现对Web目录访问权限的控制，而该目 录下的所有文件和文件夹都将继承这些安全性设置。
① 基本身份验证。
在基本身份验证过程中，用户的Web浏览器将 提示用户输入有效的Windows账户和密码。
在此方式中，用户输入的账户和密码是以明 文方式在网络上传输的，没有任何加密。
如果在传输过程中被非法用户截取数据包， 就可以从中获取账户名和密码，因此它是一 种安全性很低的身份验证方式，适合于给需 要很少保密性的信息授予访问权限。
2. 用户控制安全
由IIS搭建的Web网站，默认允许所有用户匿 名访问，网络中的用户无需输入用户名和密 码就可以任意访问Web页面。
而对于一些安全性要求较高的Web网站，或者 Web网站中拥有敏感数据时，也可以采用多种 用户认证方式，对用户进行身份验证，从而 确保只有经过授权的用户才能实现对Web信息 的访问和浏览。
(1) 禁止匿名访问。安装IIS后默认生成的 IUSR_Computername匿名账户给Web服务器带来了很大 的安全隐患，Web客户可以使用该匿名账户自动登录， 应该对其访问权限进行限制。一般情况下，如果没有 匿名访问需求，可以取消Web的匿名访问。
(2) 使用用户身份验证。在IIS 6.0中，除了匿名访问 外，提供了集成Windows身份验证、Windows域服务器 的摘要式身份验证、基本身份验证和.NET Passport 身份验证等多种身份验证方式。
小李对论坛系统的管理员登录模块进行了仔细分析， 登录模块没有对攻击者输入的管理员账户和密码等数 据进行合法性检查，而且存在SQL注入漏洞，使得攻 击者通过输入一些特殊字符就能成功登录论坛系统， 或利用SQL注入工具破解管理员账户和密码。
找到原因后，小李设置了输入数据的合法性 检查，并修复了SQL注入漏洞，对Web服务器 进一步加强了安全配置，并采用了SSL安全协 议。
IIS作为一种开放的服务，其发布的文件和数据是无需 进行保护的，但是，IIS作为Windows操作系统的一部 分，却可能由于自身的安全漏洞导致整个Windows操作 系统被攻陷。
目前，很多黑客正是利用IIS的安全漏洞成功实现了对 Windows操作系统的攻击，获取了特权用户权限和敏感 数据，因此加强IIS的安全是必要的。
公司的论坛系统又恢复了正常，此后论坛系 统再也没有发生过类似的安全事件。
10.3 相关知识点
10.3.1 Web安全概述
随着Web2.0、社交网络、微博等一系列新型的互联网 产品的诞生，基于Web环境的互联网应用越来越广泛， 企业信息化的过程中各种应用都架设在Web平台上， Web业务的迅速发展也引起黑客们的强烈关注，接踵而 至的就是Web安全威胁的凸显，
③ 写入。允许用户上传文件到Web服务器上已启用的目录中，或更 改可写文件的内容。如果仅仅是发布信息，不要选中该权限。 当允许用户“写入”时，要选择相应的身份验证方式，并设置 磁盘配额，以防止非法用户的入侵，以及授权用户对磁盘空间 的无限制滥用。
④ 目录浏览。允许用户看到该目录下的文件和子目录的超文本列 表。除非必要，一般不要选中该权限，因为通过该权限可以显 示Web网站的目录结构，从而判断出Web数据库和应用程序的位 置，进而对网站发起恶意攻击。
正是因为这样，Web业务平台最容易遭受攻击。 同时，对Web服务器的攻击也可以说是形形色 色、种类繁多，常见的有挂马、SQL注入、缓 冲区溢出、嗅探、利用IIS等针对Web服务器 漏洞进行攻击。
一方面，由于TCP/IP的设计是没有考虑安全问题的， 这使得在网络上传输的数据是没有任何安全防护的。
攻击者可以利用系统漏洞造成系统进程缓冲区溢出， 攻击者可能获得或者提升自己在有漏洞的系统上的用 户权限来运行任意程序，甚至安装和运行恶意代码， 窃取机密数据。
SSL的工作原理是：
使用SSL安全机制时，首先在客户端和服务器之间建 立连接，服务器将数字证书连同公开密钥一起发给客 户端。在客户端，随机生成会话密钥，然后使用从服 务器得到的公开密钥加密会话密钥，并把加密后的会 话密钥在网络上传送给服务器。
服务器使用相应的私钥对接收的加密了的会话密钥进 行解密，得到会话密钥，之后，客户端和服务器端就 可以通过会话密钥加密通信的数据了。
一般可以从以下几个方面提高使用浏览器的安cookie及安全设置cookie是netscape公司开发并将其作为持续保存状态信息和其他信息的一种方式目前大多数的浏览器都支持cookiecookie是当用户浏览某网站时网站存储在用户计算机上的一个小文本文件14kb它记录了用户的id密码浏览过的网页停留的时间等信息当用户再次访问该网站时网站通过读取cookie得知用户的相关信息就可以做出相应的动作如在页面显示欢迎用户的标语或者让用户不用输入id密码就能直接登录等
集成Windows身份验证是Windows Server 2003家族成 员中使用的默认身份验证方式，安全性较高。
③ Windows域服务器的摘要式身份验证。
摘要式身份验证提供了和基本身份验证相同的功能， 但是，摘要式身份验证在通过网络发送用户凭据方面 提高了安全性，在发送用户凭据前经过了哈希计算。
6. SSL安全
SSL(Security Socket Layer，安全套接层) 是Netscape公司为了保证Web通信的安全而提 出的一种网络安全通信协议。
SSL协议采用了对称加密技术和公钥加密技术， 并使用了X.509数字证书技术，实现了Web客 户端和服务器端之间数据通信的保密性、完 整性和用户认证。
(5) 病毒破坏。目前，Web站点面临着各种各样病毒的 威胁。蠕虫、特洛伊木马、电子邮件炸弹、逻辑炸弹 等多种计算机病毒严重威胁着Web站点的安全。
10.3.2 IIS的安全
目前，Web服务器软件有很多，其中IIS(Internet Information Server，Internet信息服务)以其和 Windows系统的完美结合，得到了广泛的应用。
黑客利用网站操作系统的漏洞和Web服务程序的SQL注 入漏洞等得到Web服务器的控制权限，轻则篡改网页内 容，重则窃取重要内部数据，更为严重的则是在网页 中植入恶意代码，使得网站访问者受到侵害。
目前很多业务都依赖于互联网，例如说网上 银行、网络购物、网络游戏等，很多恶意攻 击者出于不良的目的对Web服务器进行攻击， 想方设法通过各种手段获取他人的个人账户 信息谋取利益。
而应用层面的软件在开发过程中也没有过多考虑到安 全的问题，这使得程序本身存在很多漏洞，诸如缓冲 区溢出、SQL注入等流行的应用层攻击，这些均属于在 软件研发过程中疏忽了对安全的考虑所致。
另一方面，用户对某些隐秘的东西带有强烈的好奇心， 一些利用木马或病毒程序进行攻击的攻击者，往往就 利用了用户的这种好奇心理，将木马或病毒程序捆绑 在一些艳丽的图片、音视频及免费软件等文件中，然 后把这些文件置于某些网站当中，再引诱用户去单击 或下载运行。
或者通过电子邮件附件和QQ、MSN等即时聊天软件， 将这些捆绑了木马或病毒的文件发送给用户，利用用 户的好奇心理引诱用户打开或运行这些文件。
Web站点的安全问题主要表现在以下几wenku.baidu.com方面。
(1) 未经授权的存取操作。由于操作系统等方面的漏洞， 使未经授权的用户可以获得Web服务器上的秘密文件 和数据，甚至可以对Web服务器上的数据进行修改、 删除，这是Web站点的一个严重的安全问题。
这样客户端和服务器端就建立了一个唯一的安全通信 通道。
SSL安全协议提供的安全通信有以下3个特征。
① 数据保密性。在客户端和服务器端进行数据交换之 前，交换SSL初始握手信息，在SSL握手过程中采用了 各种加密技术对其进行加密，以保证其机密性和数据 完整性，并且用数字证书进行鉴别。这样就可以防止 非法用户进行破译。在初始化握手协议对加密密钥进 行协商之后，传输的信息都是经过加密的数据。加密 算法为对称加密算法，如DES、IDEA、RC4等。
1. IIS安装安全
IIS作为Windows的一个组件，可以在安装Windows系 统的时候选择是否安装。安装Windows系统之后，也 可以通过控制面板中的“添加/删除程序”来添加/删 除IIS组件。
在安装IIS之后，在安装的计算机上将默认生成 IUSR_Computername的匿名账户(其中Computername为 计算机的名称)，该账户被添加到域用户组中，从而 把应用于域用户组的访问权限提供给访问IIS服务器 的每个匿名用户，这不仅给IIS带来了很大的安全隐 患，还可能威胁到整个域资源的安全。因此，要尽量 避免把IIS安装到域控制器上。
经初步调查分析，在公司的防火墙和入侵检测系统上 均未发现入侵的痕迹，也未发出安全警报，那么网络 论坛究竟是怎么被黑掉的呢？
10.2 项目分析
网络管理员小李再次认真分析了网络论坛系统，发现 论坛系统采用了ASP＋Access的编程环境，从IIS的日 志中发现，黑客是用正常的管理员账户和密码登录论 坛系统的，那么黑客是怎么知道管理员账户和密码的 呢？
(2) 窃取系统的信息。非法用户侵入系统内部，获取系 统的一些重要信息，如用户名、用户口令、加密密钥 等，利用窃取的这些信息，达到进一步攻击系统的目 的。
(3) 破坏系统。对网络系统、操作系统、应用程序等进 行破坏。
(4) 非法使用。用户对未经授权的程序、命令进行非法 使用，使他们能够修改或破坏系统。
② 集成Windows身份验证。
集成Windows身份验证是一种安全的验证形式。需要 用户输入用户名和密码，但用户名和密码在通过网络 发送前会经过散列函数(Hash函数)的处理，因此可以 确保安全性。
当启用Windows身份验证时，用户的浏览器通过与Web 服务器进行密码交换(包括散列值)来证明其知道密码。
IIS可以设置允许或拒绝从特定IP发来的服务请求， 有选择地允许特定节点的用户访问Web服务，可以通 过设置来阻止除了特定IP地址外的整个网络用户来访 问Web服务器。
因此，通过IP地址来进行用户控制是一个非常有效的 方法。
5. 端口安全
对于IIS服务，无论是Web站点、FTP站点还是 SMTP服务，都有各自的TCP端口号用来监听和 接收用户浏览器发出的请求，一般的默认端口 号为：Web站点是80，FTP站点是21，SMTP服务 是25。
同时，在安装IIS的Web、FTP等服务时，应尽量 避免将IIS服务器安装在系统分区上。把IIS服 务器安装在系统分区上，会使系统文件和IIS服 务器文件同样面临非法访问，容易使非法用户 入侵系统分区。
另外，避免将IIS服务器安装在非NTFS分区上。 相对于FAT、FAT32分区而言，NTFS分区拥有较 高的安全性和磁盘利用率，可以设置复杂的访 问权限，以适应不同信息服务的需要。
⑤ 记录访问。允许用户将IIS配置成在日志文件中记录对该目录的 访问情况，通过该日志文件，可以对网站的访问进行统计和分 析，有利于系统安全。
⑥ 索引资源。允许Microsoft Indexing Service将该目录包含在 Web网站的全文索引中。
4. IP地址控制
如果使用前面介绍的用户身份验证方式，每次访问站 点时都需要输入用户名和密码，对于授权用户而言比 较麻烦。
下面是几种Web目录访问权限的含义。
① 脚本资源访问。在设置了读取或写入权限的情况下， 选中该权限则允许用户访问源代码(如ASP程序)，这 可能使其他人利用ASP脚本漏洞对Web网站发起恶意攻 击，因此一般不要选中该权限。
② 读取。允许用户读取或者下载文件、目录及其相关 属性。要发布信息时必须将其选中。
项目10 Web安全
项目1 双机互连对等网络的组建
10.1 项目提出
张先生开办的公司越来越大，公司人员也越来越多， 为了便于通信和交流，张先生在公司网络内部开通了 论坛，论坛中只管理员才有管理权限，普通员工只能 查看和发表论坛信息。
有一天，公司员工反映网络论坛被恶意更改，公司内 部一片哗然，张先生马上召集网络管理员，询问事件 的原由。
摘要式身份验证只能在带有Windows 2000/2003域控 制器的域中使用。
3. 访问权限控制
(1) NTFS文件系统的文件和文件夹的访问权限控制
如果将Web服务器安装在NTFS分区上，一方面可以对 NTFS文件系统的文件和文件夹的访问权限进行控制， 对不同的用户组和用户授予不同的访问权限。
另外，还可以利用NTFS文件系统的审核功能，对某些 特定用户组成员读写文件的企图等方面进行审核，有 效地通过监视如文件访问、用户对象的使用等发现非 法用户进行非法活动的前兆，以及时加以预防制止。
(2) Web目录的访问权限控制
对于已经设置成Web目录的文件夹，可以通过操作Web 站点属性页实现对Web目录访问权限的控制，而该目 录下的所有文件和文件夹都将继承这些安全性设置。
① 基本身份验证。
在基本身份验证过程中，用户的Web浏览器将 提示用户输入有效的Windows账户和密码。
在此方式中，用户输入的账户和密码是以明 文方式在网络上传输的，没有任何加密。
如果在传输过程中被非法用户截取数据包， 就可以从中获取账户名和密码，因此它是一 种安全性很低的身份验证方式，适合于给需 要很少保密性的信息授予访问权限。
2. 用户控制安全
由IIS搭建的Web网站，默认允许所有用户匿 名访问，网络中的用户无需输入用户名和密 码就可以任意访问Web页面。
而对于一些安全性要求较高的Web网站，或者 Web网站中拥有敏感数据时，也可以采用多种 用户认证方式，对用户进行身份验证，从而 确保只有经过授权的用户才能实现对Web信息 的访问和浏览。
(1) 禁止匿名访问。安装IIS后默认生成的 IUSR_Computername匿名账户给Web服务器带来了很大 的安全隐患，Web客户可以使用该匿名账户自动登录， 应该对其访问权限进行限制。一般情况下，如果没有 匿名访问需求，可以取消Web的匿名访问。
(2) 使用用户身份验证。在IIS 6.0中，除了匿名访问 外，提供了集成Windows身份验证、Windows域服务器 的摘要式身份验证、基本身份验证和.NET Passport 身份验证等多种身份验证方式。
小李对论坛系统的管理员登录模块进行了仔细分析， 登录模块没有对攻击者输入的管理员账户和密码等数 据进行合法性检查，而且存在SQL注入漏洞，使得攻 击者通过输入一些特殊字符就能成功登录论坛系统， 或利用SQL注入工具破解管理员账户和密码。
找到原因后，小李设置了输入数据的合法性 检查，并修复了SQL注入漏洞，对Web服务器 进一步加强了安全配置，并采用了SSL安全协 议。
IIS作为一种开放的服务，其发布的文件和数据是无需 进行保护的，但是，IIS作为Windows操作系统的一部 分，却可能由于自身的安全漏洞导致整个Windows操作 系统被攻陷。
目前，很多黑客正是利用IIS的安全漏洞成功实现了对 Windows操作系统的攻击，获取了特权用户权限和敏感 数据，因此加强IIS的安全是必要的。
公司的论坛系统又恢复了正常，此后论坛系 统再也没有发生过类似的安全事件。
10.3 相关知识点
10.3.1 Web安全概述
随着Web2.0、社交网络、微博等一系列新型的互联网 产品的诞生，基于Web环境的互联网应用越来越广泛， 企业信息化的过程中各种应用都架设在Web平台上， Web业务的迅速发展也引起黑客们的强烈关注，接踵而 至的就是Web安全威胁的凸显，
③ 写入。允许用户上传文件到Web服务器上已启用的目录中，或更 改可写文件的内容。如果仅仅是发布信息，不要选中该权限。 当允许用户“写入”时，要选择相应的身份验证方式，并设置 磁盘配额，以防止非法用户的入侵，以及授权用户对磁盘空间 的无限制滥用。
④ 目录浏览。允许用户看到该目录下的文件和子目录的超文本列 表。除非必要，一般不要选中该权限，因为通过该权限可以显 示Web网站的目录结构，从而判断出Web数据库和应用程序的位 置，进而对网站发起恶意攻击。
正是因为这样，Web业务平台最容易遭受攻击。 同时，对Web服务器的攻击也可以说是形形色 色、种类繁多，常见的有挂马、SQL注入、缓 冲区溢出、嗅探、利用IIS等针对Web服务器 漏洞进行攻击。
一方面，由于TCP/IP的设计是没有考虑安全问题的， 这使得在网络上传输的数据是没有任何安全防护的。
攻击者可以利用系统漏洞造成系统进程缓冲区溢出， 攻击者可能获得或者提升自己在有漏洞的系统上的用 户权限来运行任意程序，甚至安装和运行恶意代码， 窃取机密数据。
SSL的工作原理是：
使用SSL安全机制时，首先在客户端和服务器之间建 立连接，服务器将数字证书连同公开密钥一起发给客 户端。在客户端，随机生成会话密钥，然后使用从服 务器得到的公开密钥加密会话密钥，并把加密后的会 话密钥在网络上传送给服务器。
服务器使用相应的私钥对接收的加密了的会话密钥进 行解密，得到会话密钥，之后，客户端和服务器端就 可以通过会话密钥加密通信的数据了。
一般可以从以下几个方面提高使用浏览器的安cookie及安全设置cookie是netscape公司开发并将其作为持续保存状态信息和其他信息的一种方式目前大多数的浏览器都支持cookiecookie是当用户浏览某网站时网站存储在用户计算机上的一个小文本文件14kb它记录了用户的id密码浏览过的网页停留的时间等信息当用户再次访问该网站时网站通过读取cookie得知用户的相关信息就可以做出相应的动作如在页面显示欢迎用户的标语或者让用户不用输入id密码就能直接登录等
集成Windows身份验证是Windows Server 2003家族成 员中使用的默认身份验证方式，安全性较高。
③ Windows域服务器的摘要式身份验证。
摘要式身份验证提供了和基本身份验证相同的功能， 但是，摘要式身份验证在通过网络发送用户凭据方面 提高了安全性，在发送用户凭据前经过了哈希计算。