《网站安全方案书》doc版

《《网站安全方案书》doc版》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网站安全解决方案指导老师：小组成员：15目录一．为什么关注网站安全问题11.1网站的作用11.2网站被攻击带来的损失1二.黑客攻击网站的目的22.1.受雇于他人的黑客行为22.2.受商业利益驱使22.3.恶作剧型的黑客行为22.4.搜集肉鸡22.5.打击报复型22.6.窃取资料型22.7.菜鸟测试型3三．网站存在的漏洞危害及解决办法43.1.SQL注入43.1.1.SQL注入定义43.1.2.SQL注入位置43.1.3.SQL注入危害53.1.4.SQL的解决方法53.2.跨站脚本攻击63.2.

2、1.跨站脚本攻击定义63.2.2.跨站脚本攻击原理63.2.3.跨站脚本攻击的危害63.2.4.XSS解决方案73.3.挂马攻击73.3.1.挂马攻击的定义73.3.2.常见的挂马类型83.3.3.挂马危害83.3.4.网站被挂马攻击的解决方法8四．网站安全问题的解决方案104.1渗透测试104.1.1渗透测试原理104.1.2.渗透测试104.2.建立安全监测机制思路13五．网站安全方案总结1515网络安全实训一．为什么关注网站安全问题15网络安全实训近年来，随着互联网技术的发展，所面临的We

3、b应用安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁的风险，如黑客攻击、蠕虫病毒、DDoS攻击、SQL注入、跨站脚本、Web应用安全漏洞利用等，极大地困扰着用户，给组织的信息网络和核心业务造成严重的破坏。这就要求我们应该更加重视网站安全问题。1.1网站的作用人们的生活已经跟网站紧密相关，获取知识、浏览新闻、游戏娱乐、在线购物甚至网上炒股，网站给人们带来的太多的便利。1.2网站被攻击带来的损失随着Web应用技术的深入普及，网站攻击的技术门槛在不断降低，当攻击跟金钱、名誉甚至政治阴谋联系在一

4、起的时候，我们的网站很可能已经处于多个攻击者的视线之内。正因为如此，网页挂马、数据篡改等网站安全事件层出不穷，网站被攻击而遭受损失的媒体报道屡见不鲜，网站安全形势日益严峻。而网站被攻击后造成的巨大损失，也已经成为网站所有者和访问者不能承受之痛。15网络安全实训二.黑客攻击网站的目的2.1.受雇于他人的黑客行为商业竞争对手恶意竞争通过黑客手法攻击；如据互联安全网报道：黑客受雇恶意文档攻击西方企业，这类攻击就属于商业竞争行为。2.2.受商业利益驱使敲诈勒索、盗取各类银行帐户信息及虚拟财产的黑客攻击行

5、为；如各类钓鱼行为都属于商业利益驱使的攻击行为。2.3.恶作剧型的黑客行为随意篡改网站首页；这类黑客攻击往往是一些新手的尝试行为，更多的是为了一种虚荣心的满足。2.4.搜集肉鸡攻击一个网站后，挂上网页木马（可导致浏览该网站者中毒而使自己的计算机成为入侵者的肉鸡）；这类是为其他类攻击原因作准备，据从互联安全网社区获得的案例，有黑客竟然通过这类行为掌握了数万台的肉鸡。2.5.打击报复型网站服务不好而引起的商业纠纷等无法处理的时候会有黑客攻击行为；如前一段时间某威客网站经常遭受莫名攻击导致无法正常提供

6、服务，有权威人士就指出乃是因为其网站客户服务不到位，无故刁难客户导致黑客人士不平进而遭受DDOS攻击，根本不是所谓其自己据称的遭受竞争对手恶意攻击。2.6.窃取资料型15网络安全实训此类攻击主要针对一些资料网站包括收费用户网站，一般攻击者不会破坏服务器及网站数据，但会悄悄将数据偷走据为已有；如盗取网站管理员的密码之类。2.7.菜鸟测试型这类一般为一些正在学习黑客技术的人通过攻击网站练习的人骇客新手，这类攻击一般攻击经验少，容易对网站数据造成破坏。15网络安全实训三．网站存在的漏洞危害及解决办法3

7、.1.SQL注入3.1.1.SQL注入定义所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。SQL注入攻击是发生在应用程序的数据库层上的安全漏洞。在设计不良的程序当中，忽略了对输入字符串中夹带的SQL指令的检查，那么这些夹带进去的指令就会被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。3.1.2.SQL注入位置无论是内网环

8、境还是外网环境（互联网），B/S架构的Web应用（以下指网站）都直接或者间接地受到各种类型的Web攻击的影响。对于后台数据库来说，以SQL注入攻击危害最为普遍，由于网站服务端语言自身的缺陷与程序员编写代码的安全意识不足，攻击者可以将恶意SQL语句注入到正常的数据库操作指令中去，从而使该恶意SQL语句在后台数据库中被解析执行。在SQL注入攻击之前，首先要找到网站中各类与数据库形成交互的输入点。通常情况下，一个网站的输入点包括：1．表单提交，主要是POST请求，也包括GET请求。2．URL参数提交，