第22章 网站安全需求分析与安全保护工程
网站安全威胁与需求分析
• 网站安全概念
o 网站是一个基于B/S技术架构的综合信息服务平台，主要提供网页信息及业务后台对外接口服务

o 网站安全主要是有关网站的机密性、完整性、可用性及可控性
• 网站安全分析
o 非授权访问
o 网页篡改
o 数据泄露：用户敏感信息
o 恶意代码：网页木马
o 网站假冒
o 拒绝服务
o 网站后台管理安全威胁
• 网站安全需求
o 包括：网络环境、网络通信、操作系统、数据库、应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护
Apache安全分析与增强
Apache Httpd是常用的构建网站服务器的软件，简称Apache Web
• Apache安装和配置
o httpd.conf：
 Apache主配置文件，httpd启动时会先读取httpd.conf。
 该文件设定Apache服务器一般的属性、端口、执行者身份
• conf/srm.conf：数据配置文件
• conf/access.conf：负责基本的读取文件控制
• conf/mime.conf：设定Apache所能辨别的MIME格式
Apache安全分析
• 面临的威胁：
 Apache Web软件程序威胁
 Apache Web软件配置威胁：资源位置预测
 Apache Web安全机制威胁：口令爆破
 Apache Web应用程序威胁：SQL注入
 Apache Web服务通信威胁
 Apache Web服务内容威胁：钓鱼
 Apache Web服务器拒绝服务威胁
Apache安全机制理解及配置
• Apache Web 本地文件安全
• Apache Web 模块管理机制：模块化管理，不需要某一项配置即可禁止
• Apache Web认证机制
 如：对/user/local/apache/htdocs/secret目录进行访问控制
• 连接耗尽应对机制
 解决办法：
 减少Apache超时（Timeout）设置、增大MaxClients设置
 限制同一IP的最大连接数
 多线程下载保护机制
• Apache Web自带的访问机制
• Apache Web审计和日志：access.log和error.log
• Apache Web服务器防范DoS
Apache安全漏洞处理方法
• 及时安装Apache Web补丁
• 启用.htaccess文件保护网页
• 为Apache Web服务软件设置专门的用户和组
• 隐藏Apache Web软件的版本号
• Apache Web目录访问安全增强
• 设定禁止使用目录索引文件
• 禁止默认访问
• 禁止用户重载
• Apache Web文件目录保护
• 最佳安全实践：
 ServerRoot保存配置文件（conf子目录）、二进制文件和其他服务器配置文件
 DocumentRoot保存Web站点的内容，包括HTML文件和图片等
 Apache服务CGI目录的属主和权限设置555
 Apache服务器执行目录的属主和权限设置550
 Apache服务器日志目录的属主和权限设置664
• 删除Apache Web默认目录或不必要的文件
• Apache源代码文件
• 默认HTML文件
• CGI程序样例
• 默认用户文件
• 使用第三方软件安全增强Apache Web服务
• 构建Apache Web服务器“安全沙箱”
• 使用OpenSSL增强Apache Web安全通信
• 增强Apache Web服务器访问控制
IIS安全分析与增强
• IIS安装和配置
o IIS由若干个组件构成，每个组件负责相应的功能，协同处理HTTP请求过程

o IIS处理HTTP请求步骤

1. HTTP.sys接收到客户的HTTP请求
2. HTTP.sys联系WAS（Windows Process Activation Service），从配置库中获取信息
3. WAS从配置库applicationHost.config中请求配置信息
4. WWW Service接收配置信息，例如应用池和站点配置
5. WWW Service使用这些配置信息设置HTTP.sys
6. WAS针对请求，为应用池启动工作进程
7. 工作进程处理请求和返回HTTP.sys的响应
8. 客户接收到响应
   • IIS安全分析
   o 非授权访问
   o 网络蠕虫
   o 网页篡改
   o 拒绝服务
   o IIS软件漏洞
   • IIS安全机制类型及配置
   o 类型：包括IIS认证机制、IIS访问控制、IIS日志审计
   o IIS认证机制
9. 匿名认证
10. 基本验证
11. 证书认证
12. 数字签名认证
13. IIS证书认证
14. Windows认证
    • IIS访问控制
15. 访问控制措施：请求过滤、URL授权控制、IP地址限制、文件授权
16. 访问控制流程：
    

• IIS日志审计
IIS安全漏洞处理方法
• 及时安装IIS补丁
• 启用动态IP限制
• 启用URLScan
• 启用IIS Web应用防火墙
• 启用SSL服务
Web应用漏洞分析与防护
• OWASP Top 10
o A1-注入漏洞
o A2-遭受破坏的认证
o A3-敏感数据暴露漏洞
o A4-XML外部实体引用漏洞
o A5-受损害的访问控制漏洞
o A6-安全配置错误
o A7-跨站脚本漏洞
o A8-非安全反序列化漏洞
o A9-使用含有已知漏洞的组件
o A10-非充分的日志记录和监控
• SQL注入漏洞分析与防护
o 对应用程序输入进行安全过滤：特殊字符过滤
o 设置应用程序最小化权限
o 屏蔽应用程序错误提示信息：隐藏报错信息，防止报错注入
o 对开源Web应用程序做安全适应性改造
• XSS漏洞分析与防护
o 典型的攻击方式：
 HTML内容替换
 嵌入脚本内容
 强制网页加载外部脚本
文件上传漏洞分析与防护
• 防护措施：
 将上传目录设置为不可执行，避免上传文件远程触发执行
 检查上传文件的安全性，阻断恶意文件上传
网站安全保护机制与技术方案
网站构成组件安全加固
• 操作系统安全加固
• 数据库系统安全加固
• Web服务器软件安全加固
• Web应用程序安全加固
• Web通信安全加固
• 网站域名服务安全加固
• 网站后台管理安全加固
网站攻击防护及安全监测
• 防火墙
• 漏洞扫描
• 网站防篡改
o 实现技术：
 利用操作系统的文件调用事件来检测网页文件的完整性变化
 利用密码学的单向函数检测
网络流量清洗

网站安全监测

• 网站安全漏洞监测
• 网站挂马监测
• 网站ICP备案监测
• 网站合规性监测
• 网站性能监测
• 网站DNS监测
• 网站入侵检测