設為首頁(yè) | 收藏本站 | 聯(lián)系我們
客戶(hù)服務(wù)熱線(xiàn)

聯(lián)系人:十堰誠聯(lián)

電 話(huà):0719-8888168

       8028688

手機號:18907282528

傳 真:0719-8888168

騰訊QQ:點(diǎn)點(diǎn)擊這里與十堰誠聯(lián)聯(lián)系

地 址:十堰市張灣區萬(wàn)達廣場(chǎng)C座8層

您當前位置:網(wǎng)站首頁(yè) > 技術(shù)資料 >

技術(shù)資料

軟件檢測過(guò)的安全網(wǎng)站不一定安全

時(shí)間:2015-05-06 14:38 來(lái)源:未知 作者:Chenglian 點(diǎn)擊: 次

1、 概述

  網(wǎng)站安全主要從網(wǎng)絡(luò )安全、主機系統安全、WEB服務(wù)安全及頁(yè)面數據安全等方面進(jìn)行檢測,網(wǎng)絡(luò )、主機等基礎環(huán)境的安全檢測此處不再述。

  2、 Web 服務(wù)安全防護

  2.1 Web 應用安全檢測

  (一) 對于商業(yè)軟件,如Oracle,Apache等通用組件系統,應當依據廠(chǎng)商或第三方安全機構提供的安全配置加固列表進(jìn)行安全設置,在廠(chǎng)商推出安全修補程序后應及時(shí)進(jìn)行    安全補丁更新。

  (二) 應當定期對采用通用程序(如Apache,Websphere等)的應用系統進(jìn)行弱點(diǎn)掃描,并及時(shí)解決所發(fā)現的問(wèn)題;掃描應當在非關(guān)鍵業(yè)務(wù)時(shí)段進(jìn)行,并制定詳細的回退計劃。

  (三) 隱藏Apache的版本號及其它敏感信息

  默認情況下,很多Apache安裝時(shí)會(huì )顯示版本號及操作系統版本,甚至會(huì )顯示服務(wù)器上安裝的是什么樣的Apache模塊。這些信息可以為黑客所用,并且黑客還可以從中得知你   所配置的服務(wù)器上的很多設置都是默認狀態(tài)。‘

  這里有兩條語(yǔ)句,你需要添加到你的httpd.conf文件中:

  Serversignature off

  Servertokens prod

  Serversignature出現在A(yíng)pache所產(chǎn)生的像404頁(yè)面、目錄列表等頁(yè)面的底部。Servertoken目錄被用來(lái)判斷Apache會(huì )在Server HTTP響應包的頭部填充什么信息。如果把      ServerTokens設為Products,那么HTTP響應包頭就會(huì )被設置成:

  Server:Apache

  (四)確保web根目錄之外的文件沒(méi)有提供服務(wù)

  拒絕Apache訪(fǎng)問(wèn)web根目錄之外的任何文件。假設你的所有Web站點(diǎn)文件都放在一個(gè)目錄下(例如/web),你可以如下設置:

  Order Deny,ALLow

  Deny from all

  Options None

  Allowoverride None

  Order ALLow,Deny

  Allow from all

  注意,因為軒opitins None和Allowoverride None,這將關(guān)閉服務(wù)器的所有Options和OCerride。必須明確把每個(gè)目錄設置成Options或者Override。

  (五)、關(guān)閉目錄瀏覽

  在Directory標簽內用Options命令來(lái)實(shí)現這個(gè)功能。設置Options為None或者-Indexes.

  (六)、關(guān)閉Includes

  通過(guò)在Directory標簽內使用Options命令實(shí)現。設備Options為None或者-Includes。

  Options –Includes

  (七) 、關(guān)閉CGI執行程序

  如果不用CGI,對其進(jìn)行關(guān)閉。在目錄標簽中把選項設置成None或——ExecCGI就可以:

  Options —ExecCGI

  (八) 、禁止Apache遵循符號連接

  同上,把選項設置成None或者—FollowsymLinks:

  Options —FollowSymlinks

  2.2 Web 網(wǎng)站化代碼安全檢測

  (一) 、采用最新版本的Web服務(wù)程序;

  (二) 、采用最小權限的原則設置專(zhuān)門(mén)帳戶(hù)用于運行網(wǎng)站服務(wù)、數據庫服務(wù);

  (三) 網(wǎng)站與數據庫分離,禁止Web服務(wù)與數據庫服務(wù)運行于同一臺服務(wù)器上;

  (四) 對IIS、Apache等Web服務(wù)進(jìn)行合理配置,防范目錄權限、寫(xiě)權限、文件下載等漏洞;

  (五) 加強網(wǎng)站代碼的安全性,對互聯(lián)網(wǎng)用戶(hù)提交網(wǎng)站數據庫的數據進(jìn)行嚴格過(guò)濾,防范SQL注入,如“_、’、”、and、exec、--、or”等:

  (六) 對于互聯(lián)網(wǎng)用戶(hù)提交的URL、留言等內容進(jìn)行嚴格過(guò)濾,防范跨站攻擊,如:“<、>、’、”、script、/、(、)”等;

  (七) 嚴格限制對外網(wǎng)站的文件上傳功能,對需要提供上傳功能的網(wǎng)站 要加強上傳文件的格式、內容松果,并進(jìn)行病毒查殺,防止互聯(lián)網(wǎng)用戶(hù)上傳惡意代碼;

  (八) 設置不宜猜測的后臺管理目錄,防范對后臺管理暴力破解。

更多

您可能還對以下文章感興趣...

亚洲国产中文字幕在线视频综合_国产精品无码A∨精品_亚洲乱亚洲乱妇50p_久久精品久久国产精