WEB应用系统入侵检测及安全防护策略应用探究

《WEB应用系统入侵检测及安全防护策略应用探究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、WEB应用系统入侵检测及安全防护策略应用探究摘要：本文通过一个实际的入侵案例，分析了入侵者对WEB应用系统的常用入侵技术和方法。针对入侵技术和方法，提出了保证系统安全运行的防护策略。经几个月的实际运行检验，防护策略取得了较好的效果。关键词：WEB服务器入侵检测安全策略近年来，随着计算机大量普及和互联网的飞速发展，以WEB服务为代表的海量信息服务也越来越被广泛接受。各种B/S结构的信息服务平台已在教育、政企、科研等多个领域中得到广泛的应用。然而，在知识获取和信息处理越来越方便、快捷的同时，系统安全和数据安全等问题也接踵而至。安全性问题得到有效解

2、决，是信息化成功、企事业稳定发展的关键，也是几乎所有的社会系统存在和发展的重要基础。网络安全的范围很大，本文主要阐述WEB服务所面临的一些安全问题和针对这些问题应采取的措施。以一次成功的入侵检测和安全防护为例，提出自己的一些策略和方法。1入侵案例某校园网中的一台WEB服务器，运行Windows2003server操作系统，向外界提供校内各部门的网站服务。在一次例行维护的过程中，网络管理员发现部分网站内容被删除，系统设置被改动，还被上传了大量的木马和恶意程序。同时，入侵者清空了部分系统日志，试图阻止管理人员对入侵过程的反向解析。但通过部分残存的

3、WEB日志进行分析，仍可得出比较清晰的入侵途径等重要信息。2入侵技术及入侵痕迹隐藏方法分析2.1入侵技术分析在入侵过程中，入侵者可以利用多种技术手段对WEB服务器进行入侵：2.1.1利用网站本身漏洞由于网站在设计的时候，就没有考虑到对评论内容的安全过滤，致使包含有恶意内容的数据可被提交到服务器上执行，成为入侵者进入系统的一条途径。2.1.2SQL注入很多网站为了避免Access数据库文件被下载，常将文件的•mdb后缀名改为.aspo但是一旦网站的数据库路径被探测到后，入侵者就可使用正常方式向数据库内提交非法数据，这些数据会被以.asp程序的方

4、式运行，使入侵者获得并利用WEBSHELL进行提权操作，最终获得系统管理员权限。上面案例中，入侵者就是利用某个网站的文件上传功能，提交了包含有恶意数据的文件，该网站虽然限制了上传文件的类型，但同时又提供了文件改名的功能。入侵者将后缀名原本为asp的木马程序改名为jpg后上传，然后再通过文件改名将木马还原并加以执行，借此获得了系统权限。2.2入侵痕迹隐藏方法当木马程序或者恶意程序被上传到服务器之后，入侵者一定会对系统进行一系列的操作来对恶意程序进行隐藏。一般的入侵者会将恶意程序存放到回收站目录或者系统临时目录下，利用比较少被注意的文件目录来隐藏

5、，以达到不被发现的目的。有经验的系统管理员可以比较容易地发现这样隐藏的恶意程序。部分有经验的入侵者会使用畸形目录和特殊文件名来对恶意程序进行隐藏。畸形目录指的是文件目录的名称中包含一个或多个"符号。特殊文件名指的是使用Windows系统保留的设备名来命名文件，主要有：lpt,aux,coml-9,prn,nul,con等，例如：lpt.txt、coml.txto也可以将两者结合来使用，例如：c：a.aux.txto即使管理员发现了这些畸形目录和特殊文件，不采取特殊手段也很难删除这些恶意程序。有的入侵者会利用某些特定软件来隐藏恶意程序，例如

6、使用EasyFileLocker等软件，这个软件会使用硬件驱动的方式将存放在硬盘上的恶意程序加以隐藏，这种隐藏方式比较难发现，因为从系统中只能看到新增了一个未知硬件，很容易被管理员忽略。入侵者在入侵过程中，会单独或综合使用上述各种方法。3安全设置和实现方法3.1服务器安全设置服务器的安全运行，需要比较全面的安全设置。3.1.1关闭不必要的系统服务系统服务越多，漏洞就越大。管理员需要严格按照所提供的服务来控制系统内服务的使用，关闭不必要的系统服务，以免系统漏洞被入侵者利用。3.1.2严格设置文件权限和用户权限服务器一定要使用NTFS等可以设置用

7、户权限的文件格式。一般来说，大多数文件和文件目录除Administrators用户组和System用户组外，都不给读写权限。以WEB服务为例，网站目录中除了数据库目录和文件上传目录外，都不给Guests组以写权限。3.1.3WEB服务安全策略在IIS设置中，一定不要给数据库目录和文件上传目录脚本执行权限。删除不需要的文件后缀名解析映射。例如，静态网站只保留.htm和.html解析映射；当存在动态网页时，则按照需要保留.asp或.php或.jsp等。使用无法解析的DLL程序对Access数据库做解析映射，例如将.mdb定义为使用c:windo

8、wstwain_32.dll来解析，可以防止数据库被下载并杜绝恶意数据运行。3.1.4系统安全策略使用组策略编辑器，将默认管理员administrator和默认来