构建安全服务器环境阻止网站黑客攻击

来源：anqn 作者：佚名出处：巧巧读书 2008-06-20 进入讨论组

　　专家支招二：重视网站系统安全，布控第二把锁

　　构建安全服务器的环境，只是从外围进行阻击“黑客”的攻击，但更重要的还是要保障网站系统安全，防止黑客利用系统漏洞进行攻击，从而威胁网站安全。

　　据动易公司网络安全专家介绍：根据2007年OWASP组织发布的Web应用程序脆弱性10大排名的统计结果表明，跨站脚本、注入漏洞、跨站请求伪造、信息泄露等方面的问题仍然是目前黑客流行的攻击方式，而其中尤以SQL注入攻击和跨站脚本攻击为重，所谓的SQL注入攻击就是利用程序员在编写代码时没有对用户输入数据的合法性进行判断，导致入侵者可以通过插入并执行恶意SQL命令，获得数据读取和修改的权限；而跨站脚本攻击则是通过在网页中加入恶意代码，当访问者浏览网页时，恶意代码会被执行或者通过给管理员发信息的方式诱使管理员浏览，从而获得管理员权限，控制整个网站。

　　那么，对这种黑客攻击方式有没有有效的安全手段进行阻击呢？据悉，在SiteFactory? 内容管理系统开发中，针对各种攻击方式都制定了相应完整的防御方案，并且借助 ASP.NET 的特性和功能，可以有效的抵制恶意用户对网站进行的攻击，提高网站的安全性，但就针对目前SQL注入攻击和跨站脚本攻击，其更加有效的阻击手段是什么呢？为此，动易网络安全专家介绍了一些安全手段：

　　一、对于SQL注入攻击：动易系统采用对SQL查询语句中的查询参数进行过滤；使用类型安全的SQL参数化查询方式，从根本上解决SQL注入的问题；URL参数类型、数量、范围限制功能，解决恶意用户通过地址栏恶意攻击的问题等，这些手段是控制SQL注入的，还包括其它的一些过滤处理，和其它的对用户输入数据的验证来防止SQL注入攻击。

　　二、对于跨站脚本攻击：在对于不支持HTML的内容直接实行编码处理的办法，来从根本上解决跨站问题。而对于支持Html的内容，我们有专门的过滤函数，会对数据进行安全处理(依据XSS攻击库的攻击实例)，虽然这种方式目前是安全的，但不代表以后也一定是安全的，因为攻击手段会不断翻新，我们的过滤函数库也会不断更新。

　　另外对于外站访问和直接访问我们也做了判断，从一定程度上也可以避免跨站攻击。即使出现了了跨站攻击，我们也会将攻击的影响减到最小：1.对于后台一些会显示HTML内容的地方，通过frame的安全属性security="restricted"来阻止脚本的运行(IE有效)；2.使用Cookie的HttpOnly属性来防止Cookie通过脚本泄密(IE6 SP1以上、Firefox 3)；3.身份验证票据都是加密过的；4.推荐使用更高版本的IE或者FF。

　　网友支招三：呼吁站长和政府关注网站安全，动员第三把锁

　　2008年4月29日，国务院办公厅发布了“国务院办公厅关于施行《中华人民共和国政府信息公开条例》若干问题的意见”(国办发(2008〕36号)，)，文中充分体现了政务公开的决心，而政务公开的组要信息渠道是传统的纸媒和政府网站，但据CNCERT/CC监测到中国大陆被篡改网站总数累积达61228个，比去年增加了1.5倍。中国大陆政府网站被篡改数量达3407个。而2007年中国大陆政府网站被篡改各月累计达4234个。

　　一系列的数字和事实证明，我们在网站安全方面存在着重大的隐患，而其中网站站长和政府在安全方面扮演着重要的角色，一方面我们呼吁网站站长关注网站安全，构筑网站安全的基本防护能力，降低被“黑客”攻击的风险，另一方面我们呼吁政府关注，积极打击网络黑客犯罪，加强互联网犯罪立法，从制度上保障网站的安全。