熱門(mén)推薦 / Hot
- 04-28· 什么是BIOS和COMS
- 05-16· 城市公路智能無(wú)線(xiàn)視
- 05-08· 家庭防盜系統應該使
- 10-04· 十堰萬(wàn)達廣場(chǎng)麻辣小
- 04-28· 系統提示內存不足的
- 05-02· 電腦經(jīng)常藍屏的原因
- 03-01· 十堰誠聯(lián)智慧政務(wù)綜
- 05-02· 正在獲取網(wǎng)絡(luò )地址導
- 05-02· 官山水庫管理處單色
- 05-17· 造船廠(chǎng)廣播系統解決
- 05-11· 智能家居布線(xiàn)方法及
- 05-16· 安檢門(mén)適用領(lǐng)域應用
- 10-10· 六里坪鎮七色光幼兒
- 05-06· 怎么樣防范克隆卡犯
- 05-21· 國內寬帶提速降低資
- 05-12· 小區常見(jiàn)安防漏洞須
- 04-26· 各種品牌電腦主板B
- 05-02· 電腦下載速度慢教你
技術(shù)資料
軟件檢測過(guò)的安全網(wǎng)站不一定安全
1、 概述 網(wǎng)站安全主要從網(wǎng)絡(luò )安全、主機系統安全、WEB服務(wù)安全及頁(yè)面數據安全等方面進(jìn)行檢測,網(wǎng)絡(luò )、主機等基礎環(huán)境的安全檢測此處不再述。 2、 Web 服務(wù)安全防護 2.1 Web 應用安全檢測 (一) 對于商業(yè)軟件,如Oracle,Apache等通用組件系統,應當依據廠(chǎng)商或第三方安全機構提供的安全配置加固列表進(jìn)行安全設置,在廠(chǎng)商推出安全修補程序后應及時(shí)進(jìn)行 安全補丁更新。 (二) 應當定期對采用通用程序(如Apache,Websphere等)的應用系統進(jìn)行弱點(diǎn)掃描,并及時(shí)解決所發(fā)現的問(wèn)題;掃描應當在非關(guān)鍵業(yè)務(wù)時(shí)段進(jìn)行,并制定詳細的回退計劃。 (三) 隱藏Apache的版本號及其它敏感信息 默認情況下,很多Apache安裝時(shí)會(huì )顯示版本號及操作系統版本,甚至會(huì )顯示服務(wù)器上安裝的是什么樣的Apache模塊。這些信息可以為黑客所用,并且黑客還可以從中得知你 所配置的服務(wù)器上的很多設置都是默認狀態(tài)。‘ 這里有兩條語(yǔ)句,你需要添加到你的httpd.conf文件中: Serversignature off Servertokens prod Serversignature出現在A(yíng)pache所產(chǎn)生的像404頁(yè)面、目錄列表等頁(yè)面的底部。Servertoken目錄被用來(lái)判斷Apache會(huì )在Server HTTP響應包的頭部填充什么信息。如果把 ServerTokens設為Products,那么HTTP響應包頭就會(huì )被設置成: Server:Apache (四)確保web根目錄之外的文件沒(méi)有提供服務(wù) 拒絕Apache訪(fǎng)問(wèn)web根目錄之外的任何文件。假設你的所有Web站點(diǎn)文件都放在一個(gè)目錄下(例如/web),你可以如下設置: Order Deny,ALLow Deny from all Options None Allowoverride None Order ALLow,Deny Allow from all 注意,因為軒opitins None和Allowoverride None,這將關(guān)閉服務(wù)器的所有Options和OCerride。必須明確把每個(gè)目錄設置成Options或者Override。 (五)、關(guān)閉目錄瀏覽 在Directory標簽內用Options命令來(lái)實(shí)現這個(gè)功能。設置Options為None或者-Indexes. (六)、關(guān)閉Includes 通過(guò)在Directory標簽內使用Options命令實(shí)現。設備Options為None或者-Includes。 Options –Includes (七) 、關(guān)閉CGI執行程序 如果不用CGI,對其進(jìn)行關(guān)閉。在目錄標簽中把選項設置成None或——ExecCGI就可以: Options —ExecCGI (八) 、禁止Apache遵循符號連接 同上,把選項設置成None或者—FollowsymLinks: Options —FollowSymlinks 2.2 Web 網(wǎng)站化代碼安全檢測 (一) 、采用最新版本的Web服務(wù)程序; (二) 、采用最小權限的原則設置專(zhuān)門(mén)帳戶(hù)用于運行網(wǎng)站服務(wù)、數據庫服務(wù); (三) 網(wǎng)站與數據庫分離,禁止Web服務(wù)與數據庫服務(wù)運行于同一臺服務(wù)器上; (四) 對IIS、Apache等Web服務(wù)進(jìn)行合理配置,防范目錄權限、寫(xiě)權限、文件下載等漏洞; (五) 加強網(wǎng)站代碼的安全性,對互聯(lián)網(wǎng)用戶(hù)提交網(wǎng)站數據庫的數據進(jìn)行嚴格過(guò)濾,防范SQL注入,如“_、’、”、and、exec、--、or”等: (六) 對于互聯(lián)網(wǎng)用戶(hù)提交的URL、留言等內容進(jìn)行嚴格過(guò)濾,防范跨站攻擊,如:“<、>、’、”、script、/、(、)”等; (七) 嚴格限制對外網(wǎng)站的文件上傳功能,對需要提供上傳功能的網(wǎng)站 要加強上傳文件的格式、內容松果,并進(jìn)行病毒查殺,防止互聯(lián)網(wǎng)用戶(hù)上傳惡意代碼; (八) 設置不宜猜測的后臺管理目錄,防范對后臺管理暴力破解。 |
- 05-02· Linux系統安裝軟件方法
|
|