关于Web安全漏洞分析及防范策略
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
程序漏 洞是 Ｗｅ ｂ安全 受 到威 胁 的一个 重要 方面 ， 通过对 计算 机系统 进行 漏洞 扫描来 寻找计 算 机 的漏 洞
收 稿 日期 ： ２ ０ １ ７ － ０ ５ — １ ０ 修 回 日期 ： ２ ０ １ ７ － ０ ６ — ０ ５
基 金 项 目： 安 徽 省 质 量 工 程项 目“ 省 级 特 色 专 业 计 算 机 网络 技 术 专业 ” （ ２ ０ １ ３ ｔ ｓ ｚ ｙ ０ ６ １ ） ； 铜 菠 职 业 技 术 学 院教 研 科 学研 究项 目“ 基于赛 、 教、 练、 学 协 同 的高 职 网 络 技 术 专 业 实 践 教 学 改 革 探 索 ” （ Ｊ Ｙ２ ０ １ ６ Ｄ０ ０ ６ ） 。 第 一作 者简 介 ： 刘杰 （ １ ９ ８ ３ 一 ） ， 男， 汉族 ， 安徽铜陵人 ， 硕士 ， 铜 陵 职 业技 术 学 院讲 师 ， 主 要从 事 计算 机 网 络 和 系 统 安 全 研 究 。
到 Ｗｅ ｂ服 务器 的控制权 限 ， 轻则篡 改 网页 内容 ， 重则 窃取 重要 内部数 据 ， 更 为严重 的则 是在 网页 中植入 恶 意
代码 ， 使得 网站 访 问者受 到侵 害 ， 这也 使得越 来越 多 的用 户关 注应 用层 的安全 问题 ， 对 Ｗｅ ｂ应 用安 全 的关 注
度 也逐渐 升温 。 在 Ｗｅ ｂ安 全应用 的发展 过程 中 ， Ｓ ＱＩ 和Ｘ Ｓ Ｓ的出现是 其发 展历史 上 的两个里 程碑 ， Ｗｅ ｂ安
墙通 过设 置允许 访 问的应用 以及 端 口来实 现对访 问 的筛 选 ， 防火墙 在访 问鉴 别方面 存在 着非 常大 的问题 ， 它 并不 能完 全保证 ｗｅ ｂ安 全 。
另外 ， 很多用 户 认 为使用 Ｉ Ｄ Ｓ之后 ， Ｗｅ ｂ安 全就 得 以有效地 保 证 ， 这 一 观念 同样错 误 。Ｉ Ｄ Ｓ是 通过 对模 式进行 识别 来抵御 来 自网络 层 面的攻击 ， 其 与防火墙 的原理 有些类 似 ， 但 是利用 程序 的漏洞 以及 被用 户主 动 允许 的正 常 的链 接 是无 法得 到识 别 与防 护 的 ， 并且 类似 的防护 软件为 了保 证用 户 的正 常使 用并 不 能随 意扩 大 自身 的界 别范 围 。
全 也 由服 务器端 的脚 本安 全 问题转移到浏览器安全问题 ， 即现 阶段的 Ｗｅ ｂ安全重点是对浏览器安全的处理 。
１ ． ２ Ｗｅ ｂ安 全 认 识 误 区
在很 长一段 时 间 内， 用 户认 为防火 墙能 够有 效地保 证 Ｗｅ ｂ安全 。这一 想法 随着计算 机 网络发 展被 证 明 是错误 且危 险 的 。 防火墙 中无论 是应 用级 的亦或 是端 口级 的 ， 都 只是针 对 网络层 面上 的安全进 行 防护 。 防火
文 章编 号 ： １ Ｄ ０ ８ —３ ７ ８ ２ （ ２ ０ １ ７ ） ０ ４ —０ ０ ３ ２ —０ ４
关 于来自百度文库Ｗｅ ｂ安全 漏 洞分 析及 防范策 略
刘 杰， 葛晓玢
（ 铜 陵 职 业 技 术 学 院 信息 工 程 系 ， 安 徽 省 铜 凌 市 西湖 新 区翠 湖 四 路 ２ ６ ８ ９号 ２ ４ ４ ０ ６ １ ）
中 图分 类 号 ： ＴＰ ３ ９ ３ ． ０ ８ 文献标识码 ： Ａ Ｄ ＯＩ ： １ ０ ． １ ６ ０ ４ ６ ／ ｊ ． ｃ ｎ ｋ ｉ ． ｉ ｓ ｓ ｎ ｌ ０ ０ ８ — ３ ７ ８ ２ ． ２ ０ １ ７ ． ０ ４ ． ０ ０ ８
随 着计算 机技 术应用 的飞 速发展 ， 带 来 了越 来越 多的 网络安 全 问题 ， 对 基数庞 大 的计 算 机使用 群体带 来
了威胁 。基于 Ｗｅ ｂ系统 的计 算机技 术应 用为 用户带 来 了方便快 捷 的服务 ， 也为众 多企业 提 供 了信息 管理 方 面 的 支持 ， 但是， Ｗｅ ｂ系统 也面 临着 安 全漏 洞 的威 胁 ， 因此 分析 Ｗｅ ｂ中 的安 全漏 洞并 针 对 性 的寻 找 防范 策
略是保 障 Ｗｅ ｂ系统运 行更稳 定 的关键 ， 也能 够进 一步推 动计算 机信 息技 术 的发展 。
摘 要： 随 着 计 算 机技 术 应 用 的 发展 ， 计算 机 网 络 安 全 问题 也 向着 多元 化方 向发 展 ， 对 计 算 机 网络 安全 要 求 也 更 高 。文 中 分析 了
Ｗｅ ｂ安 全 系 统 的 现 实 状 况 及 常见 的 安全 漏 洞 攻 击 方 式 ， 并 给 出 了对 应 的 防范 措 施 。 关键词 ： 网络安全； 漏洞分析 ； 防范 策 略
Ｅ— ｍａ ｉ ｌ ： ｔ ｌ ｐ ｔ
—
ｌ ｊ ＠１ ６ ３ ． ｃ ｏ ｒ ｎ
第 ４期
刘 杰 等 ： 关 于 Ｗｅ ｂ安 全 漏 洞 分 析 及 防 范 策 略
３ ３
进 而保 证 Ｗｅ ｂ安 全 ， 这 一想 法是 正确 的 。但是 ， 当并 未检 测到计 算 机漏洞 存在 时 ， 用 户理所 当然 地认 为计算 机并 不会遭 到 安全威 胁 ， 这是 十分 危险 的认识 。事 实上 ， 漏 洞扫描 工具 只能被 用 于扫描 和查找 一些广 泛 的明 显 的 安全漏 洞 ， 漏洞 扫描 工具也 无法 对 网站上 的程 序进行 应 用检测 ， 也 无法对 自身 的漏洞 进行 查找 。这 样使
１ Ｗｅ ｂ安 全
１ ． １ Ｗｅ ｂ安全 现 状
Ｗｅ ｂ安全 又称 为 Ｗｅ ｂ应用 安全 ， 从 开始应 用 到现 在 的 ｗｅ ｂ ３ ． ０互联 网产 品的应用 ， Ｗｅ ｂ的企 业信 息业 务迅 速发展 ， 也 引起 黑客 的高度关 注 。 黑 客利 用 网站 操作 系统 的漏洞 和 Ｗｅ ｂ服务程序 的 ｓ ＱＩ 注入漏 洞等得
２ ０ １ ７年 １ ２月 第 ４期
河 ｊ Ｅ 工 程 技 术 高 等 专 科 学 校 学 报 Ｊ ＯＵＲ ＮＡＬ Ｏ Ｆ ＨＥ Ｂ Ｅ Ｉ ＥＮ ＧＩ ＮＥ Ｅ ＲＩ Ｎ Ｇ ＡＮＤ ＴＥ ＣＨＮＩ Ｃ ＡＬ ＣＯ Ｌ Ｌ Ｅ ＧＥ
Ｄｅ ｃ ． ２ ０１ ７
ＮＯ ． ４
收 稿 日期 ： ２ ０ １ ７ － ０ ５ — １ ０ 修 回 日期 ： ２ ０ １ ７ － ０ ６ — ０ ５
基 金 项 目： 安 徽 省 质 量 工 程项 目“ 省 级 特 色 专 业 计 算 机 网络 技 术 专业 ” （ ２ ０ １ ３ ｔ ｓ ｚ ｙ ０ ６ １ ） ； 铜 菠 职 业 技 术 学 院教 研 科 学研 究项 目“ 基于赛 、 教、 练、 学 协 同 的高 职 网 络 技 术 专 业 实 践 教 学 改 革 探 索 ” （ Ｊ Ｙ２ ０ １ ６ Ｄ０ ０ ６ ） 。 第 一作 者简 介 ： 刘杰 （ １ ９ ８ ３ 一 ） ， 男， 汉族 ， 安徽铜陵人 ， 硕士 ， 铜 陵 职 业技 术 学 院讲 师 ， 主 要从 事 计算 机 网 络 和 系 统 安 全 研 究 。
到 Ｗｅ ｂ服 务器 的控制权 限 ， 轻则篡 改 网页 内容 ， 重则 窃取 重要 内部数 据 ， 更 为严重 的则 是在 网页 中植入 恶 意
代码 ， 使得 网站 访 问者受 到侵 害 ， 这也 使得越 来越 多 的用 户关 注应 用层 的安全 问题 ， 对 Ｗｅ ｂ应 用安 全 的关 注
度 也逐渐 升温 。 在 Ｗｅ ｂ安 全应用 的发展 过程 中 ， Ｓ ＱＩ 和Ｘ Ｓ Ｓ的出现是 其发 展历史 上 的两个里 程碑 ， Ｗｅ ｂ安
墙通 过设 置允许 访 问的应用 以及 端 口来实 现对访 问 的筛 选 ， 防火墙 在访 问鉴 别方面 存在 着非 常大 的问题 ， 它 并不 能完 全保证 ｗｅ ｂ安 全 。
另外 ， 很多用 户 认 为使用 Ｉ Ｄ Ｓ之后 ， Ｗｅ ｂ安 全就 得 以有效地 保 证 ， 这 一 观念 同样错 误 。Ｉ Ｄ Ｓ是 通过 对模 式进行 识别 来抵御 来 自网络 层 面的攻击 ， 其 与防火墙 的原理 有些类 似 ， 但 是利用 程序 的漏洞 以及 被用 户主 动 允许 的正 常 的链 接 是无 法得 到识 别 与防 护 的 ， 并且 类似 的防护 软件为 了保 证用 户 的正 常使 用并 不 能随 意扩 大 自身 的界 别范 围 。
全 也 由服 务器端 的脚 本安 全 问题转移到浏览器安全问题 ， 即现 阶段的 Ｗｅ ｂ安全重点是对浏览器安全的处理 。
１ ． ２ Ｗｅ ｂ安 全 认 识 误 区
在很 长一段 时 间 内， 用 户认 为防火 墙能 够有 效地保 证 Ｗｅ ｂ安全 。这一 想法 随着计算 机 网络发 展被 证 明 是错误 且危 险 的 。 防火墙 中无论 是应 用级 的亦或 是端 口级 的 ， 都 只是针 对 网络层 面上 的安全进 行 防护 。 防火
文 章编 号 ： １ Ｄ ０ ８ —３ ７ ８ ２ （ ２ ０ １ ７ ） ０ ４ —０ ０ ３ ２ —０ ４
关 于来自百度文库Ｗｅ ｂ安全 漏 洞分 析及 防范策 略
刘 杰， 葛晓玢
（ 铜 陵 职 业 技 术 学 院 信息 工 程 系 ， 安 徽 省 铜 凌 市 西湖 新 区翠 湖 四 路 ２ ６ ８ ９号 ２ ４ ４ ０ ６ １ ）
中 图分 类 号 ： ＴＰ ３ ９ ３ ． ０ ８ 文献标识码 ： Ａ Ｄ ＯＩ ： １ ０ ． １ ６ ０ ４ ６ ／ ｊ ． ｃ ｎ ｋ ｉ ． ｉ ｓ ｓ ｎ ｌ ０ ０ ８ — ３ ７ ８ ２ ． ２ ０ １ ７ ． ０ ４ ． ０ ０ ８
随 着计算 机技 术应用 的飞 速发展 ， 带 来 了越 来越 多的 网络安 全 问题 ， 对 基数庞 大 的计 算 机使用 群体带 来
了威胁 。基于 Ｗｅ ｂ系统 的计 算机技 术应 用为 用户带 来 了方便快 捷 的服务 ， 也为众 多企业 提 供 了信息 管理 方 面 的 支持 ， 但是， Ｗｅ ｂ系统 也面 临着 安 全漏 洞 的威 胁 ， 因此 分析 Ｗｅ ｂ中 的安 全漏 洞并 针 对 性 的寻 找 防范 策
略是保 障 Ｗｅ ｂ系统运 行更稳 定 的关键 ， 也能 够进 一步推 动计算 机信 息技 术 的发展 。
摘 要： 随 着 计 算 机技 术 应 用 的 发展 ， 计算 机 网 络 安 全 问题 也 向着 多元 化方 向发 展 ， 对 计 算 机 网络 安全 要 求 也 更 高 。文 中 分析 了
Ｗｅ ｂ安 全 系 统 的 现 实 状 况 及 常见 的 安全 漏 洞 攻 击 方 式 ， 并 给 出 了对 应 的 防范 措 施 。 关键词 ： 网络安全； 漏洞分析 ； 防范 策 略
Ｅ— ｍａ ｉ ｌ ： ｔ ｌ ｐ ｔ
—
ｌ ｊ ＠１ ６ ３ ． ｃ ｏ ｒ ｎ
第 ４期
刘 杰 等 ： 关 于 Ｗｅ ｂ安 全 漏 洞 分 析 及 防 范 策 略
３ ３
进 而保 证 Ｗｅ ｂ安 全 ， 这 一想 法是 正确 的 。但是 ， 当并 未检 测到计 算 机漏洞 存在 时 ， 用 户理所 当然 地认 为计算 机并 不会遭 到 安全威 胁 ， 这是 十分 危险 的认识 。事 实上 ， 漏 洞扫描 工具 只能被 用 于扫描 和查找 一些广 泛 的明 显 的 安全漏 洞 ， 漏洞 扫描 工具也 无法 对 网站上 的程 序进行 应 用检测 ， 也 无法对 自身 的漏洞 进行 查找 。这 样使
１ Ｗｅ ｂ安 全
１ ． １ Ｗｅ ｂ安全 现 状
Ｗｅ ｂ安全 又称 为 Ｗｅ ｂ应用 安全 ， 从 开始应 用 到现 在 的 ｗｅ ｂ ３ ． ０互联 网产 品的应用 ， Ｗｅ ｂ的企 业信 息业 务迅 速发展 ， 也 引起 黑客 的高度关 注 。 黑 客利 用 网站 操作 系统 的漏洞 和 Ｗｅ ｂ服务程序 的 ｓ ＱＩ 注入漏 洞等得
２ ０ １ ７年 １ ２月 第 ４期
河 ｊ Ｅ 工 程 技 术 高 等 专 科 学 校 学 报 Ｊ ＯＵＲ ＮＡＬ Ｏ Ｆ ＨＥ Ｂ Ｅ Ｉ ＥＮ ＧＩ ＮＥ Ｅ ＲＩ Ｎ Ｇ ＡＮＤ ＴＥ ＣＨＮＩ Ｃ ＡＬ ＣＯ Ｌ Ｌ Ｅ ＧＥ
Ｄｅ ｃ ． ２ ０１ ７
ＮＯ ． ４