web在應(yīng)用中的安全性問題

文章出處：http://coolbang.cn 作者：開發(fā)部 人氣： 發(fā)表時(shí)間：2015年12月24日

部署在Internet上的WEB應(yīng)用毫無疑問每時(shí)每刻都在遭受著各種考驗(yàn)，有些是出自惡意的破壞者，有些是來自無心的攻擊者（中了病毒或是木馬的菜鳥），還有一些是來自系統(tǒng)內(nèi)部的出于好奇或是有目的的惡意訪問。下面是計(jì)算機(jī)安全學(xué)會(huì)CSI協(xié)同舊金山聯(lián)邦調(diào)查局開展的計(jì)算機(jī)犯罪和安全調(diào)查提供的數(shù)字：

　　90%的被調(diào)查者在過去12月中探測到有計(jì)算機(jī)漏洞

　　74%的被調(diào)查者稱其Internet連接遭受頻繁攻擊，而40%的被調(diào)查者探測到有來自外部的系統(tǒng)滲透；

　　75%的被調(diào)查者估計(jì)他們在過去所受的攻擊的一部分可能來自心懷不滿的雇員。

　　毫無疑問，安全問題正在成為計(jì)算機(jī)領(lǐng)域的關(guān)鍵問題，作為具有最多訪問方式和最大的網(wǎng)絡(luò)基礎(chǔ)的WEB應(yīng)用，其面臨的安全考驗(yàn)更是嚴(yán)峻。

　　據(jù)知，國內(nèi)的公司很少會(huì)專門為自己的WEB項(xiàng)目進(jìn)行安全性測試，而且，大部分公司也不知道著手進(jìn)行安全性測試。

　　一般來說，一個(gè)WEB應(yīng)用包括WEB服務(wù)器運(yùn)行的操作系統(tǒng)、WEB服務(wù)器、WEB應(yīng)用邏輯、數(shù)據(jù)庫幾個(gè)部分，其中任何一個(gè)部分出現(xiàn)安全漏洞，都會(huì)導(dǎo)致整個(gè)系統(tǒng)的安全性問題。

　　對操作系統(tǒng)來說，最關(guān)鍵的操作系統(tǒng)的漏洞，例如Unix上的緩沖區(qū)溢出漏洞、Windows上的RPC漏洞、緩沖區(qū)溢出漏洞、安全機(jī)制漏洞等等；

　　對WEB服務(wù)器來說，WEB服務(wù)器從早期僅提供對靜態(tài)HTML和圖片進(jìn)行訪問發(fā)展到現(xiàn)在對動(dòng)態(tài)請求的支持，早已是非常龐大的系統(tǒng)，即使發(fā)展多年的Apache也難逃經(jīng)常被發(fā)現(xiàn)安全漏洞的缺陷，更不要說千瘡百孔的IIS了；

　　對應(yīng)用邏輯來說，根據(jù)其實(shí)現(xiàn)的語言不同、機(jī)制不同、由于編碼、框架本身的漏洞或是業(yè)務(wù)設(shè)計(jì)時(shí)的不完善，都可能導(dǎo)致安全上的問題；

　　對數(shù)據(jù)庫來說，數(shù)據(jù)庫注入攻擊一直是數(shù)據(jù)庫廠商和網(wǎng)站開發(fā)者的噩夢。

　　除此之外，領(lǐng)測國際認(rèn)為安全問題還存在于管理等各個(gè)方面，不完善的管理制度、缺乏安全意識的員工都會(huì)是內(nèi)部的突破口，同樣，一些開發(fā)工具生成的備份文件和注釋也會(huì)成為Cracker發(fā)送攻擊的參考資料。

　　對WEB的安全性測試是一個(gè)很大的題目，首先取決于要達(dá)到怎樣的安全程度。不要期望網(wǎng)站可以達(dá)到100%的安全，須知，即使是美國國防部，也不能保證自己的網(wǎng)站100%安全。對于一般的用于實(shí)現(xiàn)業(yè)務(wù)的網(wǎng)站，達(dá)到這樣的期望是比較合理的：

　　1、能夠?qū)γ艽a試探工具進(jìn)行防范；

　　2、能夠防范對cookie攻擊等常用攻擊手段；

　　3、敏感數(shù)據(jù)保證不用明文傳輸；

　　4、能防范通過文件名猜測和查看HTML文件內(nèi)容獲取重要信息；

　　5、能保證在網(wǎng)站收到工具后在給定時(shí)間內(nèi)恢復(fù)，重要數(shù)據(jù)丟失不超過1個(gè)小時(shí)；

　　最后補(bǔ)充一點(diǎn)，瀏覽器的漏洞也可能會(huì)導(dǎo)致網(wǎng)站的不安全。