軟件檢測(cè)過(guò)的安全網(wǎng)站不一定安全

1、 概述

　　網(wǎng)站安全主要從網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、WEB服務(wù)安全及頁(yè)面數(shù)據(jù)安全等方面進(jìn)行檢測(cè)，網(wǎng)絡(luò)、主機(jī)等基礎(chǔ)環(huán)境的安全檢測(cè)此處不再述。

　　2、 Web 服務(wù)安全防護(hù)

　　2.1 Web 應(yīng)用安全檢測(cè)

　　(一) 對(duì)于商業(yè)軟件，如Oracle，Apache等通用組件系統(tǒng)，應(yīng)當(dāng)依據(jù)廠商或第三方安全機(jī)構(gòu)提供的安全配置加固列表進(jìn)行安全設(shè)置，在廠商推出安全修補(bǔ)程序后應(yīng)及時(shí)進(jìn)行    安全補(bǔ)丁更新。

　　(二) 應(yīng)當(dāng)定期對(duì)采用通用程序(如Apache,Websphere等)的應(yīng)用系統(tǒng)進(jìn)行弱點(diǎn)掃描，并及時(shí)解決所發(fā)現(xiàn)的問(wèn)題;掃描應(yīng)當(dāng)在非關(guān)鍵業(yè)務(wù)時(shí)段進(jìn)行，并制定詳細(xì)的回退計(jì)劃。

　　(三) 隱藏Apache的版本號(hào)及其它敏感信息

　　默認(rèn)情況下，很多Apache安裝時(shí)會(huì)顯示版本號(hào)及操作系統(tǒng)版本，甚至?xí)@示服務(wù)器上安裝的是什么樣的Apache模塊。這些信息可以為黑客所用，并且黑客還可以從中得知你   所配置的服務(wù)器上的很多設(shè)置都是默認(rèn)狀態(tài)。‘

　　這里有兩條語(yǔ)句，你需要添加到你的httpd.conf文件中：

　　Serversignature off

　　Servertokens prod

　　Serversignature出現(xiàn)在Apache所產(chǎn)生的像404頁(yè)面、目錄列表等頁(yè)面的底部。Servertoken目錄被用來(lái)判斷Apache會(huì)在Server HTTP響應(yīng)包的頭部填充什么信息。如果把      ServerTokens設(shè)為Products，那么HTTP響應(yīng)包頭就會(huì)被設(shè)置成：

　　Server：Apache

　　(四)確保web根目錄之外的文件沒(méi)有提供服務(wù)

　　拒絕Apache訪問(wèn)web根目錄之外的任何文件。假設(shè)你的所有Web站點(diǎn)文件都放在一個(gè)目錄下(例如/web)，你可以如下設(shè)置：

　　Order Deny,ALLow

　　Deny from all

　　Options None

　　Allowoverride None

　　Order ALLow,Deny

　　Allow from all

　　注意，因?yàn)檐巓pitins None和Allowoverride None，這將關(guān)閉服務(wù)器的所有Options和OCerride。必須明確把每個(gè)目錄設(shè)置成Options或者Override。

　　(五)、關(guān)閉目錄瀏覽

　　在Directory標(biāo)簽內(nèi)用Options命令來(lái)實(shí)現(xiàn)這個(gè)功能。設(shè)置Options為None或者-Indexes.

　　(六)、關(guān)閉Includes

　　通過(guò)在Directory標(biāo)簽內(nèi)使用Options命令實(shí)現(xiàn)。設(shè)備Options為None或者-Includes。

　　Options –Includes

　　(七) 、關(guān)閉CGI執(zhí)行程序

　　如果不用CGI，對(duì)其進(jìn)行關(guān)閉。在目錄標(biāo)簽中把選項(xiàng)設(shè)置成None或——ExecCGI就可以：

　　Options —ExecCGI

　　(八) 、禁止Apache遵循符號(hào)連接

　　同上，把選項(xiàng)設(shè)置成None或者—FollowsymLinks：

　　Options —FollowSymlinks

　　2.2 Web 網(wǎng)站化代碼安全檢測(cè)

　　(一) 、采用最新版本的Web服務(wù)程序;

　　(二) 、采用最小權(quán)限的原則設(shè)置專門帳戶用于運(yùn)行網(wǎng)站服務(wù)、數(shù)據(jù)庫(kù)服務(wù);

　　(三) 網(wǎng)站與數(shù)據(jù)庫(kù)分離，禁止Web服務(wù)與數(shù)據(jù)庫(kù)服務(wù)運(yùn)行于同一臺(tái)服務(wù)器上;

　　(四) 對(duì)IIS、Apache等Web服務(wù)進(jìn)行合理配置，防范目錄權(quán)限、寫權(quán)限、文件下載等漏洞;

　　(五) 加強(qiáng)網(wǎng)站代碼的安全性，對(duì)互聯(lián)網(wǎng)用戶提交網(wǎng)站數(shù)據(jù)庫(kù)的數(shù)據(jù)進(jìn)行嚴(yán)格過(guò)濾，防范SQL注入，如“_、’、”、and、exec、--、or”等:

　　(六) 對(duì)于互聯(lián)網(wǎng)用戶提交的URL、留言等內(nèi)容進(jìn)行嚴(yán)格過(guò)濾，防范跨站攻擊，如：“<、>、’、”、script、/、(、)”等;

　　(七) 嚴(yán)格限制對(duì)外網(wǎng)站的文件上傳功能，對(duì)需要提供上傳功能的網(wǎng)站 要加強(qiáng)上傳文件的格式、內(nèi)容松果，并進(jìn)行病毒查殺，防止互聯(lián)網(wǎng)用戶上傳惡意代碼;

　　(八) 設(shè)置不宜猜測(cè)的后臺(tái)管理目錄，防范對(duì)后臺(tái)管理暴力破解。