标签：Web IIS 漏洞 网站 软考 安全 备考 Apache
第22章 网站安全需求分析与安全保护工程
网站安全威胁与需求分析
• 网站安全概念
o 网站是一个基于B/S技术架构的综合信息服务平台，主要提供网页信息及业务后台对外接口服务
o 网站安全主要是有关网站的机密性、完整性、可用性及可控性
• 网站安全分析
o 非授权访问
o 网页篡改
o 数据泄露：用户敏感信息
o 恶意代码：网页木马
o 网站假冒
o 拒绝服务
o 网站后台管理安全威胁
• 网站安全需求
o 包括：网络环境、网络通信、操作系统、数据库、应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护
Apache安全分析与增强
Apache Httpd是常用的构建网站服务器的软件，简称Apache Web
• Apache安装和配置
o httpd.conf：
Apache主配置文件，httpd启动时会先读取httpd.conf。
该文件设定Apache服务器一般的属性、端口、执行者身份
• conf/srm.conf：数据配置文件
• conf/access.conf：负责基本的读取文件控制
• conf/mime.conf：设定Apache所能辨别的MIME格式
Apache安全分析
• 面临的威胁：
Apache Web软件程序威胁
Apache Web软件配置威胁：资源位置预测
Apache Web安全机制威胁：口令爆破
Apache Web应用程序威胁：SQL注入
Apache Web服务通信威胁
Apache Web服务内容威胁：钓鱼
Apache Web服务器拒绝服务威胁
Apache安全机制理解及配置
• Apache Web 本地文件安全
• Apache Web 模块管理机制：模块化管理，不需要某一项配置即可禁止
• Apache Web认证机制
如：对/user/local/apache/htdocs/secret目录进行访问控制
• 连接耗尽应对机制
解决办法：
减少Apache超时（Timeout）设置、增大MaxClients设置
限制同一IP的最大连接数
多线程下载保护机制
• Apache Web自带的访问机制
• Apache Web审计和日志：access.log和error.log
• Apache Web服务器防范DoS
Apache安全漏洞处理方法
• 及时安装Apache Web补丁
• 启用.htaccess文件保护网页
• 为Apache Web服务软件设置专门的用户和组
• 隐藏Apache Web软件的版本号
• Apache Web目录访问安全增强
• 设定禁止使用目录索引文件
• 禁止默认访问
• 禁止用户重载
• Apache Web文件目录保护
• 最佳安全实践：
ServerRoot保存配置文件（conf子目录）、二进制文件和其他服务器配置文件
DocumentRoot保存Web站点的内容，包括HTML文件和图片等
Apache服务CGI目录的属主和权限设置555
Apache服务器执行目录的属主和权限设置550
Apache服务器日志目录的属主和权限设置664
• 删除Apache Web默认目录或不必要的文件
• Apache源代码文件
• 默认HTML文件
• CGI程序样例
• 默认用户文件
• 使用第三方软件安全增强Apache Web服务
• 构建Apache Web服务器“安全沙箱”
• 使用OpenSSL增强Apache Web安全通信
• 增强Apache Web服务器访问控制
IIS安全分析与增强
• IIS安装和配置
o IIS由若干个组件构成，每个组件负责相应的功能，协同处理HTTP请求过程
o IIS处理HTTP请求步骤
- HTTP.sys接收到客户的HTTP请求
- HTTP.sys联系WAS（Windows Process Activation Service），从配置库中获取信息
- WAS从配置库applicationHost.config中请求配置信息
- WWW Service接收配置信息，例如应用池和站点配置
- WWW Service使用这些配置信息设置HTTP.sys
- WAS针对请求，为应用池启动工作进程
- 工作进程处理请求和返回HTTP.sys的响应
- 客户接收到响应
• IIS安全分析
o 非授权访问
o 网络蠕虫
o 网页篡改
o 拒绝服务
o IIS软件漏洞
• IIS安全机制类型及配置
o 类型：包括IIS认证机制、IIS访问控制、IIS日志审计
o IIS认证机制 - 匿名认证
- 基本验证
- 证书认证
- 数字签名认证
- IIS证书认证
- Windows认证
• IIS访问控制 - 访问控制措施：请求过滤、URL授权控制、IP地址限制、文件授权
- 访问控制流程：
• IIS日志审计
IIS安全漏洞处理方法
• 及时安装IIS补丁
• 启用动态IP限制
• 启用URLScan
• 启用IIS Web应用防火墙
• 启用SSL服务
Web应用漏洞分析与防护
• OWASP Top 10
o A1-注入漏洞
o A2-遭受破坏的认证
o A3-敏感数据暴露漏洞
o A4-XML外部实体引用漏洞
o A5-受损害的访问控制漏洞
o A6-安全配置错误
o A7-跨站脚本漏洞
o A8-非安全反序列化漏洞
o A9-使用含有已知漏洞的组件
o A10-非充分的日志记录和监控
• SQL注入漏洞分析与防护
o 对应用程序输入进行安全过滤：特殊字符过滤
o 设置应用程序最小化权限
o 屏蔽应用程序错误提示信息：隐藏报错信息，防止报错注入
o 对开源Web应用程序做安全适应性改造
• XSS漏洞分析与防护
o 典型的攻击方式：
HTML内容替换
嵌入脚本内容
强制网页加载外部脚本
文件上传漏洞分析与防护
• 防护措施：
将上传目录设置为不可执行，避免上传文件远程触发执行
检查上传文件的安全性，阻断恶意文件上传
网站安全保护机制与技术方案
网站构成组件安全加固
• 操作系统安全加固
• 数据库系统安全加固
• Web服务器软件安全加固
• Web应用程序安全加固
• Web通信安全加固
• 网站域名服务安全加固
• 网站后台管理安全加固
网站攻击防护及安全监测
• 防火墙
• 漏洞扫描
• 网站防篡改
o 实现技术：
利用操作系统的文件调用事件来检测网页文件的完整性变化
利用密码学的单向函数检测
网络流量清洗
网站安全监测
• 网站安全漏洞监测
• 网站挂马监测
• 网站ICP备案监测
• 网站合规性监测
• 网站性能监测
• 网站DNS监测
• 网站入侵检测
标签：Web,IIS,漏洞,网站,软考,安全,备考,Apache 来源： https://www.cnblogs.com/devdog/p/15570552.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。