Web入侵现状及防护

Web入侵现状及防护Web应用作为Internet上最重要的应用形式,是推动Internet发展的关键力量。

随着服务端脚本技术、组件技术等技术手段的成熟,基于Web平台构建的应用信息系统成为了Internet信息系统的主流,而且逐渐成为电信、金融、财税等关键领域公共信息系统的首选,其HTTP协议网络数据流量占到整个Internet TCP数据流量的70％左右,重要性无容置疑。

目前,Internet上部署运行着各种各样的Web信息系统,这些系统的安全在很大程度上关系到整个Internet的正常运转。

近年来,由于Web应用攻击方法的不断曝光和Web应用重要性不断提高,对Web信息系统的攻击事件数量大增。

绝大多数Web攻击事件的根源在于Web信息系统中存在有安全漏洞。

安全漏洞(Vulnerability)是系统设计实现中有意无意引入的可能造成安全危害的错误或缺陷,Web信息系统中最常见的安全漏洞是SQL注入和跨站脚本。

恶意入侵者可利用这些安全漏洞,进行网站篡改、数据窃取、执行指令、安装木马、传播病毒等破坏活动。

本文主要对当前Web应用系统的安全现状进行分析,并针对存在的安全问题提出一些预防应对措施。

一、WEB服务器面临威胁在了解WEB服务器的安全状况之前，首先要让大家了解网站安全的另一面——黑客攻击。

97至98年互联网开始在中国兴起之时，黑客就已经诞生了，在98年印尼排华事件中，中国黑客对印尼ZF网站的打击行动通过媒体的渲染，让黑客一词进入了广大中国网民的眼帘。

随着几次黑客大战的爆发以及媒体对黑客的渲染，让更多人加入了黑客这个队伍。

那么黑客都是通过怎样的技术手段实施攻击的呢?97年到2002年以来，除了比较有名的UNICODE漏洞之外，黑客们大部分都是利用系统的各种溢出漏洞来实施入侵，包括像ipc共享空连接漏洞，ida/idq,printer漏洞，rpc漏洞等等。

2003年，中国互联网开始从01年的互联网寒冬逐渐走向复苏，盛大、分众传媒、空中网等一系列IT企业分别在纳斯达克上市成功更进一步激起了更多IT从业人员开始开设网站和成立IT公司，梦想有一日能上纳斯达克拿美国股民的钱。

网站数量的激增以及大家对网络安全的轻视，导致通过WEB的各种漏洞来进行入侵的事件越来越多。

SQL注入漏洞随着黑客高手们一次又一次地使用在拿国内外游戏数据库和游戏网站的权限，并高价卖出，买车买房子之时，SQL注入以及相关技术在黑客的群体中普及开来。

黑客们在比尔.盖茨先生弥补了大部分系统漏洞之后，开始转移方向，发现基于网站的各种脚本漏洞能非常轻易的使用，而且能够通过提权来获取系统权限。

于是，基于web的脚本漏洞成功黑客们的最爱。

随后流氓软件开始在中国的互联网大地上盛行了起来，互联网的网站应用领域的黑客入侵技术开始流行了起来。

最典型的就是黑客的网站挂马技术，这种技术就是利用网站的漏洞建立或者上传一个ASP木马的方式来获取网站的WEBSHELL权限，然后通过WEBSHELL权限通过提权获取系统权限，再接着就是在服务器的网站里面加入一些恶意的脚本代码，让你的电脑在访问网站的时候，不知不觉的中病毒和黑客程序，最后你电脑里面的重要资料，QQ号，网络游戏帐号，网上银行帐户里面的现金都会不翼而飞。

据专业权威机构统计，02年中国境内网站被入侵的比例不到10%，而到了06年，中国境内网站被入侵的比例是85%。

黑客技术的普及化以及巨大商业利益的窃取网上银行的资金，QQ号码倒卖，网络游戏装备和帐号的倒卖等地下黑客产业链的形成是导致网站遭遇安全事件的主因。

影响Web安全的因素包括:(1)由于Web服务器存在的安全漏洞和复杂性,使得依赖这些服务器的系统经常面临一些无法预测的风险。

(2)Web程序员在程序设计上或者代码开发工程中引入的缺陷,也可能造成Web系统的安全漏洞。

(3)用户是通过浏览器和Web站点进行交互的,由于浏览器本身的安全漏洞,使得非法用户可以通过浏览器攻击Web站点。

二、Web 入侵的常见特征分析目前,Web 服务器程序中的某些漏洞以及B/S 体系语言中的先天缺陷造成了Web 服务器的不安全。

例如, 在服务器漏洞方面,以Windows 为平台的IIS 系统存在Unicode 漏洞,入侵者通过向服务器发送某些包含特殊字符的代码,使服务器泄漏系统的重要信息,为其入侵创造了条件。

如"http :/ / server/script s/ . . %c1 %1c. . / winnt/ system32/cmd. exe ? / c + dir+ c :\ "请求就可能泄漏Web服务器C 盘根目录的文件信息,以此遍历文件系统,即可对系统造成极大威胁。

Web 语言方面的漏洞通常是由程序员的程序设计不严密造成的。

例如SQL 注入攻击就是利用提交数据的机会发送精心构造的SQL 语句,以此泄漏重要的数据库信息。

入侵者利用此方式获得管理员权限后就可以控制整个站点。

动态生成Sql 命令时没有对用户输入的数据进行验证而受到攻击黑客会利用特殊查询语句得到更多的数据表数据,甚至数据表的全部。

另外，入侵者一般是通过asp 程序的上传功能的漏洞进入后台上传ASP 木马程序的。

当木马一旦上传上去就有可能取得网站的管理权限, 修改或删除文件、数据库,篡改网站的主页。

三、WEB的各种攻击手段1、SQL注入漏洞的入侵这种是ASP+ACCESS的网站入侵方式，通过注入点列出数据库里面管理员的帐号和密码信息，然后猜解出网站的后台地址，然后用帐号和密码登录进去找到文件上传的地方，把ASP木马上传上去，获得一个网站的WEBSHELL。

2、ASP上传漏洞的利用这种技术方式是利用一些网站的ASP上传功能来上传ASP木马的一种入侵方式，不少网站都限制了上传文件的类型，一般来说ASP为后缀的文件都不允许上传，但是这种限制是可以被黑客突破的，黑客可以采取COOKIE欺骗的方式来上传ASP木马，获得网站的WEBSHELL权限。

3、后台数据库备份方式获得WEBSHELL这个主要是利用网站后台对ACCESS数据库进行数据库备份和恢复的功能，备份数据库路径等变量没有过滤导致可以把任何文件的后缀改成ASP，那么利用网站上传的功能上传一个文件名改成JPG或者GIF后缀的ASP木马，然后用这个恢复库备份和恢复的功能把这个木马恢复成ASP文件，从而达到能够获取网站WEBSHELL控制权限的目的。

4、网站旁注入侵这种技术是通过IP绑定域名查询的功能查出服务器上有多少网站，然后通过一些薄弱的网站实施入侵，拿到权限之后转而控制服务器的其它网站。

5、sa注入点利用的入侵技术这种是ASP+MSSQL网站的入侵方式，找到有SA权限的SQL注入点，然后用SQL数据库的XP_CMDSHELL的存储扩展来运行系统命令建立系统级别的帐号，然后通过3389登录进去，或者在一台肉鸡上用NC开设一个监听端口，然后用VBS一句话木马下载一个NC到服务器里面，接着运行NC的反向连接命令，让服务器反向连接到远程肉鸡上，这样远程肉鸡就有了一个远程的系统管理员级别的控制权限。

6、sa弱密码的入侵技术这种方式是用扫描器探测SQL的帐号和密码信息的方式拿到SA的密码，然后用SQLEXEC之类的工具通过1433端口连接到远程服务器上，然后开设系统帐号，通过3389登录。

然后这种入侵方式还可以配合WEBSHELL来使用，一般的ASP+MSSQL网站通常会把MSSQL的连接密码写到一个配置文件当中，这个可以用WEBSHELL来读取配置文件里面的SA密码，然后可以上传一个SQL木马的方式来获取系统的控制权限。

7、提交一句话木马的入侵方式这种技术方式是对一些数据库地址被改成asp文件的网站来实施入侵的。

黑客通过网站的留言版，论坛系统等功能提交一句话木马到数据库里面，然后在木马客户端里面输入这个网站的数据库地址并提交，就可以把一个ASP木马写入到网站里面，获取网站的WEBSHELL权限。

8、论坛漏洞利用入侵方式这种技术是利用一些论坛存在的安全漏洞来上传ASP木马获得WEBSHELL权限，最典型的就是，动网6.0版本，7.0版本都存在安全漏洞，拿7.0版本来说，注册一个正常的用户，然后用抓包工具抓取用户提交一个ASP 文件的COOKIE，然后用明小子之类的软件采取COOKIE欺骗的上传方式就可以上传一个ASP木马，获得网站的WEBSHELL。

四、Web 入侵检测的实现Web 挖掘是从WWW 相关资源上抽取信息和知识的过程，它是将传统的数据挖掘思想和方法用在Web 上，从Web 文档和活动中抽取感兴趣的、潜在的、有用的模式或隐藏信息。

Web 日志挖掘是Web 挖掘的一种，所有网上行为的可记录性和数据量的快速增长促成了此项应用的需求。

分析历史访问日志数据等提取出用户的行为特征、分析入侵规律，应用数据挖掘算法建立起比较完备的规则库来进行入侵检测。

首先对搜集的已知网络信息数据进行预处理，再用根据入侵行为的特征建立初始的可疑入侵数据的规则库，最后就是入侵数据的规则库的自我学习和异常数据与入侵数据的规则库的匹配检测问题。

五、Web 入侵检测过程Web 日志记录了用户访问服务器站点的信息，通过对日志分析能检测访问是否对Web 进行了入侵，其过程：Web 日志预处理->日志间关联性分析->形成频繁项集->找出入侵行为。

入侵检测的处理过程：1) 在训练时进行正常数据的采集和预处理，获得需要的信息；2) 将获得信息存入数据库；3) 将数据库中的数据进行频繁模式挖掘，得到频繁模式；4) 将获得的频繁模式存入频繁模式数据库；5) 在检测时，将数据进行异常分析、检测，与频繁模式相比较计算相似度，获得可疑及入侵数据；6) 如果为异常数据，存入入侵列表，如果为正常数据，则将结果反馈给频繁模式数据库；7) 管理员也可以临时采集数据进行频繁模式挖掘，将得到的正常模式添加到频繁模式数据库中。

在进行入侵检测时，需要将待检测数据与频繁模式数据库中的模式相比较，计算相似度，相似度就是一条待检测的数据与频繁模式库中所有数据相匹配后所匹配项数目的最大值。

对于新读取的日志数据，将其与频繁数据库中的频繁模式数据库中的频繁模式进行匹配，比较其相似度。

既然是我们的防范是从入侵者角度来进行考虑，那么我们就首先需要知道入侵者的入侵方式。

目前较为流行web入侵方式都是通过寻找程序的漏洞先得到网站的webshell然后再根据服务器的配置来找到相应的可以利用的方法进行提权，进而拿下服务器权限的。

所以配合服务器来设置防止webshell是有效的方法，其他方法主要有：第一，防止数据库被非法下载。

应当说，有一点网络安全的管理员，都会把从网上下载的网站程序的默认数据库路径进行更改。