高校网站安全及防护策略浅析.doc

《高校网站安全及防护策略浅析.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、高校网站安全及防护策略浅析摘要：文章针对高校网站被挂马、被篡改的问题，分析了这些问题产生的原因，提出了从应用程序上进行技术预防、从硬件上进行安全加固以及对网站服务器行进IIS加固和对Windows操作系统进行加固的安全防护策略。关键词：网站安全安全预防安全加固IIS加固高校网站作为对外服务的窗口，是高校最主要的宣传互动平台之一，同时也是了解高校权威信息的主渠道。高校网站一般由学校门户网站及二级部门网站构成。由于网站建设的时间、技术、资金投入以及开发网站时使用的操作系统、开发语言以及规范性都参茅不齐，致使高校网站类型迥异，管理维护难度大。随着高

2、校招生网络宣传开放性的增强，高校网站已逐渐成为黑客关注的重点目标。根据网站安全监测报告显示，在高校招生期间，高校网站被挂马、被篡改现象严重，达到全年峰值。高校网站挂马已成为黑客地下产业链的重要一环，高校网站的安全保障工作已迫在眉睫。高校网站的安全保障需要从网络接口层、编程系统以及操作系统底层等各层次进行主动防御，及时有效地发现网站运行过程中可能存在的安全隐患，并能够对安全故障进行快速有效的恢复。本文分析了高校网站安全问题的存在原因，并针对各种原因提出了可行的解决方案。一、网站安全问题成因分析1•网站代码缺乏安全设计。大部分高校网站的设计只考虑

3、功能的实现和界面美观，以达到正常为用户提供WEB访问的目标，儿乎很少对网站的代码安全进行重点考虑。也正因为对网站的安全性考虑甚少，许多高校网站的开发者大都采用已经普遍存在的网站模板，以期快速地实现系统功能。至于这些模板否存在安全漏洞，开发人员往往不去深究。这些模板存在着大量的代码漏洞，极易被黑客利用，而对网站实施攻击，造成网站数据库被注入和被挂马现象。越是老的网站模板，存在的漏洞可能越多，网站越可能被注入、被挂马。常见的恶意攻击方式表现为SQL注入攻击、跨站脚本攻击、上传Webshel1、Dos（DenialofService,拒绝服务）以及

4、DDos（DistributedDenialofService,分布式拒绝服务）攻击。其中，SQL注入攻击是将恶意的操作数据库表的SQL命令注入到后台数据库引擎中，从而使得数据库启动运行时，恶意代码同时被执行。变种极多，有经验的攻击者会手动调整攻击参数，致使攻击数据的变种是不可枚举的，这导致传统的特征匹配检测方法仅能识别相当少的攻击，难以防范。此外，由于这种攻击过程简单，目前互联网上遍布着大量的SQL注入攻击工具，攻击者借助这些工具可很快对目标WEB系统实施攻击和破坏。跨站脚本攻击是指利用网站漏洞，盗取用户信息。许多流行的留言本程序以及论坛程

5、序都允许用户发表包含HTML和javascript的帖子。这些方便用户使用的功能成为了安全漏洞，攻击者可能发表了一篇包含恶意脚本，如窃取用户的隐私数据的帖子，其他用户在打开包含这个恶意脚本的帖子时，恶意脚本就会执行，攻击者很可能盗取这些用户的私人信息。webshel1是web入侵的脚本攻击工具。黑客在入侵了一个网站后，会将该工具文件放置在网站服务器的web冃录，然后黑客就可以用正常访问Web的方式，通过该后门控制网站服务器，包括上传下载文件、查看数据库、执行任意程序命令等。DoS即拒绝服务，造成DoS的攻击行为被称为DoS攻击，Dos攻击会使

6、计算机或网络无法提供正常的服务。分布式拒绝服务(DistributedDenialofService)攻击指借助于C/S技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。造成这类攻击的一个原因通常是软件开发过程中对某种特定类型的报文或请求没有处理，导致软件遇到这种类型的报文时出现运行异常，甚至导致系统崩溃。由此看来，高校网站Web丿应用程序木身存在大量漏洞，这种脆弱性是造成被恶意频繁攻击的一个主要原因。2.网站安全产品保障缺失。高校网站恶意攻击主要分为主动攻击和被动攻击两类。主动攻击主

7、要是对网站的删除、添加、伪造、修改、传送病毒等；被动攻击主要是对网站进行窃取、截获、侦听等。此外，高校部分学生对网络技术充满强烈的好奇心和实践知识的欲望，他们会选择最为熟悉的校园网站进行实验攻击。大部分高校网站都配置了防火墙产品进行保护。防火墙作为维护网络安全的关键设备，在冃前采用的网络安全的防范体系中占据着举足轻重的位置。然而，伴随计算机技术的发展和网络应用的普及，不同程度的安全难题层出不穷。因此，在技术上，这些防火墙难以防止网站敏感信息泄露、脚本木马、注入和跨站攻击等常见的安全问题，无法有效保护网站。3•网站服务器安全加固问题。W服务器提

8、供搭建网页服务、邮件服务、数据库服务等各项功能。所有这些服务面向的都不是一个人，而是众多的人，同时处理的是众多的数据。服务器是网站的心脏，也是攻击者特别感兴趣的冃标