第13章 Web安全

利用PKI（公钥基础设施）技术，SSL协议允 许在浏览器和服务器之间进行加密通信。此外，还 可以利用数字证书保证通信安全，服务器端和浏览 器端分别由可信的第三方颁发数字证书，这样，在 交易时，双方可以通过数字证书确认对方的身份。 需要注意的是，SSL协议本身并不能提供对不可否 认性的支持，这部分工作必须由数字证书完成。 结合SSL协议与数字证书，PKI技术可以保证 Web交易多方面的安全需求，使Web上的交易和面 对面的交易一样安全。
（1）禁用匿名访问 在IIS管理器中，打开网站的属性对话框，选择 “目录安全性”选项卡，单击“身份验证和访问控 制”选项区域中的“编辑”按钮，打开“身份验证 方法”对话框。 默认启用了匿名访问，为了网站安全，可以取 消“启用匿名访问”复选框，而使用其他身份验证 方法。
在启用匿名访问时，网络中的用户无须输入用 户名和密码便可任意访问Web网站的网页。其实， 匿名访问也是需要身份验证的，称其为匿名验证。 当用户访问Web站点的时候，所有Web客户使用 “IUSR_计算机名”账号自动登录。如果允许访问， 就向用户返回网页页面；如果不允许访问，IIS将尝 试使用其他验证方法。
1．用户权限安全 Internet信息服务提供与Windows完全集成的 安全功能，在IIS6.0中，支持匿名身份验证、基本 身份验证、摘要式身份验证、高级摘要式身份验证、 集成Windows身份验证、证书身份验证、.NET Passport身份验证等7种身份验证方法。使用这些 方法可以确认任何请求访问网站的用户的身份以及 授予访问站点公共区域的权限，同时又可防止未经 授权的用户访问专用文件和目录。 当不允许用户匿名访问时，还应当为IIS用户账 户设置强密码，以实现IIS的访问安全。并且要经常 修改密码，封锁失败的登录尝试以及设定账户的有 效期等方法对一般用户账户进行管理。
4．Web服务器和浏览器 Internet上有大量的Web服务器，这些Web服 务器上汇集了大量的信息。Web服务器管理着这些 信息，并与Web浏览器打交道。 Web服务器处理来自Web浏览器的用户请求， 并将满足用户要求的信息返回给客户。 Web浏览器是客户阅读Web服务器上信息的客 户端软件，如果用户在本地机器上安装了Web浏览 器软件，就可读取Web服务器上的信息。 Web浏览器将Web上的多媒体信息转换成人们 可以看得到、听得见的文字、图形和声音。常用的 Web浏览器软件有Internet Explorer（简称IE）和 Netscape Communicator。
13.2.2 Web服务安全 1．用户控制安全 由IIS搭建的Web网站，默认允许所有用户匿名 连接，即访问时无须进行身份验证，不用键入用户 名和密码。但是，对一些安全性要求高的Web网站， 或者Web网站中拥有敏感信息时，也可以采用多种 用户认证方式，对用户进行身份验证，从而确保只 有授权用户才能实现对Web信息的访问和浏览。
（3）系统崩溃 攻击者可通过Web篡改、毁坏信息，甚至篡改、 删除关键性文件、格式化磁盘等使得Web服务器或 浏览器崩溃。
2．Web服务器的安全需求 （1）Web服务器的不安全因素 Web服务器上的漏洞可涉及以下几方面因素： ①在Web服务器上存在秘密文件、目录或重要 数据。 ②从远程用户向服务器发送信息时，特别是信 用卡之类的信息时，中途可能遭不法分子非法拦截。 ③ Web服务器本身存在一些漏洞，使得一些人 可能侵入到主机系统，破坏一些重要的数据，甚至 造成系统瘫痪。
5．Web服务的基本过程 Web的工作过程是客户机/服务器模式。 Web的工作可分为4个基本阶段： 连接、 请求、 响应、 关闭。
13.1.2 Web的安全需求 1．Web应用的威胁 Web应用面临的主要威胁有如下几个。 （1）信息泄露 攻击者可通过各种手段，非法访问Web服务器 或浏览器，获取敏感信息；或中途截获Web服务器 和浏览器之间传输的敏感信息；或由于系统配置、 软件等原因无意泄露敏感信息。 （2）拒绝服务 攻击者可在短时间内向目标机器发送大量的正 常的请求包，并使目标机器维持相应的连接；或发 送需要目标机器解析的大量无用的数据包，使得目 标机器的资源耗尽，根本无法响应正常的服务。
⑥设置好Web服务器上系统文件的权限和属性， 对允许访问的文档分配一个公用的组（如：WWW 组），并只分配它“读取”权限。把所有的HTML 文件归属WWW组，由Web管理员管理WWW组。 对于Web的配置文件仅授予Web管理员有“写”权 限。
3．Web浏览器的安全要求 Web浏览器可为客户提供一个简单实用且功能 强大的图形化界面，使得客户不必经过专业化训练 即可在网络里漫游。但使用Web浏览器的客户可能 随时遇到安全问题，因此，一般对Web浏览器也有 如下安全要求： （1）确保运行浏览器的系统不被病毒或其他 恶意程序侵害而被破坏。 （2）确保客户个人安全信息不外泄。 （3）确保交互的站点的真实性，以免被欺骗， 遭受损失。
5．Web网上交易的安全问题 为了透明地解决Web应用的安全问题，最合适 的入手点是浏览器。 现在，无论是Internet Explorer，还是 Netscape Communicator，都支持SSL协议。 这是一个在传输层和应用层之间的安全通信协 议，在两个实体进行通信之前，先要建立SSL连接， 以此实现对应用层透明的安全通信。
4．Web传输的安全要求 在Internet上，Web服务器和Web浏览器之间 的信息交换是通过数据包在Internet中传输实现的。 这些传输过程的安全要求是很重要的，因为Web数 据的传输过程直接影响着Web应用的安全。不同的 Web应用对安全传输有不同的要求，通常包括以下 几方面： （1）保证传输信息的真实性。 （2）保证传输信息的完整性。 （3）保证传输信息的保密性。 （4）保证信息的不可否认性。 （5）保证信息的不可重用性。
（2）避免安装在系统分区上 把IIS安装在系统分区上，会使系统文件与IIS同 样面临非法访问，容易使非法用户侵入系统分区， 所以在安装IIS的Web、FTP等服务时，应该尽量避 免将IIS服务器安装在系统分区上。 （3）避免安装在非NTFS分区上 相对于FAT32分区而言，NTFS分区拥有较高的 安全性和磁盘利用效率，可以设置复杂的访问权限， 以适应不同信息服务的需求。
Байду номын сангаас
2．IIS访问安全 任何一个网站都要面对安全问题，都不能排除 用户恶意或非恶意的破坏。在IIS管理器中，加密传 输（SSL）和用户授权均可在网站的属性对话框中 进行设置。 3．NTFS访问安全 无论使用IIS搭建Web服务还是FTP服务，都应 将文件存储在NTFS分区内，并利用NTFS权限来增 加数据的安全性。
这些身份验证方法，可在“身份验证方法”对 话框中的“用户访问需经过身份验证”选项区域中 进行设置，而且其作用及意义各有不同。
2．访问权限控制 利用IIS搭建的网站，还可以设置来访用户及用 户账户的权限。对于一些对安全性要求比较高的网 站，应只允许特殊的用户使用特殊的权限来访问。 不过，所控制的目录必须保存在NTFS分区内，否 则便不能设置权限。 在Web网站属性对话框“主目录”选项卡中， 可以对Web访问权限进行设置。 Web网站文件夹的访问权限，除了必须在Web 站点属性中设置外，还必须设置其NTFS权限属性 才能生效。相比较而言，NTFS属性权限大于Web 属性权限。因此，当两者属性权限不同时，以两者 所允许的最小权限为准。
第13章 Web安全 13.1 Web安全概述
13.1.1 Web概述 1．Web简介 Web又称World Wide Web，它把Internet上现 有资源全部连接起来，使用户能在Internet上已经建 立Web服务器的所有站点提供超文本媒体资源文档。 Web能把各种类型的信息（文字，图形、声音、影像、 动画等多媒体信息）紧密地集成在一起，它不仅提供 了图形界面的信息快速查找，还可以通过同样的图形 界面与Internet的其他服务器对接。
4．IIS安装安全 在安装IIS时应注意以下问题。 （1）避免安装在主域控制器上 安装IIS之后，在安装的计算机上将生成 “IUSR_计算机名”匿名账户，该账户会被添加到 域用户组中，从而把应用于域用户组的访问权限也 会提供给访问IIS服务器的每个匿名用户，这不仅给 IIS带来潜在危险，而且还可能威胁整个域资源的安 全。因此，要尽可能避免把IIS服务器安装在域控制 器上，尤其是主域控制器上。
整个系统由Web服务器、浏览器和通信协议组
成。
通信协议HTTP能够传输任意类型的数据对象 来满足Web服务器与客户之间多媒体通信的需要。 Web的成功在于使用了HTTP超文本传输协议，制 定了一套标准的、易为人们掌握的超文本标记语言 HTML，使用了信息资源的统一定位格式URL。
2．HTTP协议 从网络协议的角度看，HTTP是对TCP/IP协议 集的扩展，作为浏览器与服务器间的通信协议，处 于TCP/IP层次中的应用层。 HTTP是一种无状态协议，即服务器不保留与 客户交易时的任何状态，这可大大减轻服务器的存 储负担，从而保持较快的响应速度。 HTTP又是一种面向对象的协议，允许传送任 意类型的数据对象。它通过数据类型和长度来标识 所传送的数据内容和大小，并允许对数据进行压缩 传送。 浏览器软件配置于用户端计算机上，用户发出 的请求通过浏览器分析后，按HTTP规范送给服务 器，服务器按用户要求，将HTML文档送回给用户。
13.2 IIS安全
本节以Windows Server 2003中的IIS6.0为例， 介绍IIS安全方面的内容。由于SSL协议与数字证书 在IIS中的应用在其他章节已有介绍，本节不再赘述。 本节主要介绍IIS安全其他方面的内容。 IIS即Internet信息服务，是一个用于配置应用程 序池或网站、FTP站点、SMTP或NNTP站点的工具， 功能十分强大。 利用IIS管理器，管理员可以配置IIS安全、性能 和可靠性功能，可添加或删除站点，启动、停止和 暂停站点，备份和还原服务器配置，创建虚拟目录 以改善内容管理等。